如何配置Payara JDBCRealm存储Apache httpd风格MD5密码

我之前刚好处理过一模一样的需求——Payara默认的JDBCRealm配置确实没有直接标出这个Apache风格的摘要存储选项，但其实只要调整几个关键配置项就能实现，不用写自定义代码。咱们一步步来：

首先得搞懂原理：HTTP摘要认证的核心是HA1 = MD5(username:realm:password)，当数据库里存的是这个预计算好的HA1值时，我们需要让JDBCRealm直接用这个值和客户端的请求做比对，而不是再用明文密码重新计算。

修改你的JDBCRealm配置 #

把原来的配置调整成下面这样，我会标注关键变化：

<auth-realm classname="com.sun.enterprise.security.auth.realm.jdbc.JDBCRealm" name="digestrealm">
    <property name="jaas-context" value="jdbcDigestRealm"></property>
    <property name="datasource-jndi" value="jdbc/userrepo"></property>
    <property name="user-table" value="usertable"></property>
    <property name="user-name-column" value="username"></property>
    <property name="password-column" value="password"></property>
    <property name="group-table" value="grouptable"></property>
    <property name="group-name-column" value="groupname"></property>
    <property name="charset" value="UTF-8"></property>
    <!-- 关键修改：把None改成MD5 -->
    <property name="digest-algorithm" value="MD5"></property>
</auth-realm>

关键说明 #

• digest-algorithm设为MD5后，Payara的jdbcDigestRealm对应的登录模块（DigestLoginModule）会自动认为数据库的password字段存储的是预计算好的HA1值（也就是MD5(username:realm:password)的十六进制结果），而不是明文密码。
• 你需要提前把所有用户的HA1值计算好存入数据库，举个例子：
  假设用户名为alice，realm名称是digestrealm，密码是mypassword123，那么HA1就是MD5(alice:digestrealm:mypassword123)，计算出来的十六进制字符串（比如2f95a6c7861e9954964c22084a9e42d0）直接存在password字段里。

验证注意事项 #

1. 确保计算HA1时用的字符集和配置里的UTF-8一致，避免编码不一致导致验证失败。
2. 数据库里的HA1字符串最好用小写（MD5结果通常是小写十六进制，Payara的验证逻辑对大小写不敏感，但统一格式更稳妥）。
3. 重启Payara服务器让配置生效，之后测试登录，应该就能正常通过摘要认证了。

如果之后需要切换到其他摘要算法（比如SHA-256），原理完全一样：把digest-algorithm改成对应算法名称，同时数据库里存储SHA-256(username:realm:password)的结果即可。

内容的提问来源于stack exchange，提问作者Per-Axel Felth