javax.security.enterprise.SecurityContext与JAX-RS SecurityContext区别及使用问题

这两个接口属于Jakarta EE体系下不同规范的抽象，定位完全不同：

• javax.ws.rs.core.SecurityContext是JAX-RS 2.1规范（JSR-370）定义的专属安全上下文，仅作用于JAX-RS运行时域，只能通过JAX-RS专属的@Context注解注入，设计目标是给JAX-RS层提供独立的安全抽象，和容器全局安全体系解耦。默认实现只会同步Servlet请求层级的基础Principal信息，不会自动关联Jakarta EE统一安全API的角色配置。
• javax.security.enterprise.SecurityContext是Jakarta EE 8引入的统一安全API（JSR-375）定义的全局安全上下文，属于全容器层面的安全抽象，是用来统一各子规范零散安全能力的标准接口，由CDI容器托管，需要用@Inject注解注入，你之前注入失败不是因为拦截器运行在JAX-RS上下文，而是用错了注入注解。
  两类接口分属不同规范的独立抽象，因此各自的官方Java Doc不会专门提及另一接口的存在和差异。

你不需要额外通过ContainerRequestFilter手动同步SecurityContext，按以下规则调整即可同时满足两类需求：

1. 保留你现有的HttpAuthenticationMechanism和IdentityStore实现，只要登录时正确调用了HttpMessageContext.notifyContainerAboutLogin，容器会自动把Principal和对应角色信息同步到全局的javax.security.enterprise.SecurityContext中。
2. 自定义拦截器中，把javax.security.enterprise.SecurityContext的注入方式从@Context改为@Inject，即可拿到包含完整角色信息的安全上下文，调用isUserInRole方法可以得到正确的校验结果，满足你根据路径参数动态校验角色的需求。
3. 静态端点的@RolesAllowed注解要生效，只需在你的JAX-RS Application启动类上添加@DeclareRoles注解声明所有用到的业务角色，同时确认Payara Micro的jaxrs.roles-allowed-enabled配置为开启状态（默认即为开启），容器会自动使用全局安全上下文校验@RolesAllowed配置的静态角色，不需要额外开发。

内容的提问来源于stack exchange，提问作者Armin Bu