JBoss EAP7.3.0部署JBPM7.44 KieServer Swagger UI调用报403问题咨询

优先排查的高频问题 #

1. Swagger UI未携带基础认证头 #

Swagger UI默认不会自动为接口请求携带认证信息，即使能正常访问UI页面，未配置认证时调用接口会直接返回403：

• 打开Swagger UI页面http://<服务器地址>:8080/kie-server/docs/#/
• 点击页面右上角带锁图标的Authorize按钮
• 在弹出框中输入已创建的KieServer应用用户名、密码，点击Authorize确认
• 重新调用接口即可

2. 账号角色配置错误 #

KieServer要求调用REST接口的账号必须具备对应角色，无权限时会返回403：

• 确认通过add-user.sh创建的是**应用用户（Application User）**而非管理用户（Management User）：执行./bin/add-user.sh，选择b（Application User）类型
• 创建用户时，在角色配置步骤输入kie-server,admin（至少包含kie-server角色）
• 若需修改已有用户的角色，直接编辑standalone/configuration/application-roles.properties文件，添加行：<你的用户名>=kie-server,admin

核心配置调整（基于你提供的standalone-full.xml） #

1. 放开Undertow虚拟主机别名限制 #

当前配置仅允许localhost别名访问，通过服务器IP/域名调用接口会返回403，修改<host>节点配置：

<host name="default-host" alias="localhost,<你的服务器IP>,<业务域名>">

测试阶段可直接移除alias属性，默认匹配所有Host请求

2. 校准安全域关联 #

Undertow默认安全域需关联应用 realm，否则无法正确识别应用用户权限，找到<security-domains>配置段，修改other安全域（对应Undertow的default-security-domain="other"配置）：

<security-domain name="other" cache-type="default">
    <authentication>
        <login-module code="Remoting" flag="optional">
            <module-option name="password-stacking" value="useFirstPass"/>
        </login-module>
        <login-module code="RealmDirect" flag="required">
            <module-option name="realm" value="ApplicationRealm"/>
            <module-option name="password-stacking" value="useFirstPass"/>
        </login-module>
    </authentication>
</security-domain>

补充：若使用上级提供的自定义keystore，需确认ApplicationRealm的keystore配置未限制应用用户的权限访问，可临时用默认的ApplicationRealm配置测试，排除keystore配置问题

3. 临时关闭HTTP到HTTPS重定向排查 #

当前HTTP监听配置强制重定向到HTTPS，若HTTPS配置异常会导致接口调用被拦截，测试阶段可临时移除redirect-socket属性：

<http-listener name="default" socket-binding="http" enable-http2="true"/>

生产环境若需强制HTTPS，可在确认权限正常后恢复该配置

自定义REST接口适配说明 #

若自定义业务接口部署在KieServer应用内，需确保：

• 接口的安全注解（如@RolesAllowed）配置的允许角色包含kie-server或admin
• 接口所属的应用关联了与KieServer一致的安全域（ApplicationRealm）

快速验证命令 #

可使用curl直接测试接口权限，排除Swagger UI的问题：

curl -u <用户名>:<密码> http://localhost:8080/kie-server/services/rest/server

• 若返回200状态，说明权限配置正确，问题出在Swagger UI未携带认证
• 若返回403，说明是账号角色或安全域配置问题

内容的提问来源于stack exchange，提问作者Dr Dave