如何向EJB传入访问外部WebService的认证凭据？

针对你不想修改ejb-jar.xml重新打包的需求，我整理了几个在Payara服务器下可行且安全的方案，按推荐优先级排序：

1. 使用Payara自定义JNDI资源（最推荐） #

这是Java EE生态中管理外部配置的标准方式，完全贴合你的需求，而且安全性可控：

• 配置步骤：
  1. 登录Payara管理控制台，进入Resources > Custom Resources，创建新的自定义资源：
     • JNDI名称：建议用java:app/env/webservice/WS_Credentials（这个命名空间属于当前应用，其他应用无法访问，安全性更高）
     • 资源类型：可选java.util.Properties或者自定义的Credential类
     • 属性：添加username和password两个属性，填入对应的凭据
  2. 如果你习惯用配置文件，也可以直接修改Payara的domain.xml，添加类似配置：

     <custom-resource jndi-name="java:app/env/webservice/WS_Credentials" res-type="java.util.Properties" factory-class="org.glassfish.resources.custom.factory.PropertiesFactory">
       <property name="username" value="your_username"/>
       <property name="password" value="your_password"/>
     </custom-resource>
     

• 在EJB中使用：
  通过@Resource注解直接注入，代码简洁：

  @Stateless
  public class YourEJB {
      @Resource(lookup = "java:app/env/webservice/WS_Credentials")
      private Properties wsCredentials;
  
      public void callWebService() {
          String username = wsCredentials.getProperty("username");
          String password = wsCredentials.getProperty("password");
          // 调用WebService的业务逻辑
      }
  }
  

• 安全影响：
  • Payara支持对存储的密码进行加密（控制台配置时可选择加密选项，或在domain.xml中使用加密后的密码），避免明文泄露
  • java:app/env命名空间是应用隔离的，只有当前部署的EJB能访问该资源，不会被其他应用窃取
  • 修改凭据只需更新服务器配置，重启服务器即可生效，完全不需要重新打包EJB jar

2. 引用外部配置文件 #

类似Servlet的init-param思路，你可以把凭据放在Payara配置目录的外部文件中，再在EJB中加载：

• 配置步骤：
  1. 在Payara实例配置目录（比如${PAYARA_HOME}/glassfish/domains/domain1/config）下创建ws-credentials.properties文件，内容如下：

     ws.username=your_username
     ws.password=your_password
     

  2. 务必设置好文件权限：只允许Payara进程和管理员读取，防止其他用户访问敏感信息
• 在EJB中加载：
  通过系统属性获取Payara配置目录路径，再加载文件：

  @Stateless
  public class YourEJB {
      private Properties wsCredentials;
  
      @PostConstruct
      public void init() {
          String configDir = System.getProperty("com.sun.aas.instanceRoot") + "/config";
          File propFile = new File(configDir, "ws-credentials.properties");
          wsCredentials = new Properties();
          try (FileInputStream fis = new FileInputStream(propFile)) {
              wsCredentials.load(fis);
          } catch (IOException e) {
              // 处理文件加载失败的异常
          }
      }
  
      public void callWebService() {
          String username = wsCredentials.getProperty("ws.username");
          String password = wsCredentials.getProperty("ws.password");
          // 调用WebService的业务逻辑
      }
  }
  

• 注意事项：
  • 这个方法需要处理文件加载异常，且依赖Payara的系统属性，移植性稍弱
  • 必须严格管控配置文件的文件系统权限，避免敏感信息泄露

3. 使用Payara安全域管理凭据 #

如果你的WebService认证需要更复杂的身份管理，可以把凭据放在Payara的安全域中：

• 配置步骤：
  1. 在Payara管理控制台创建新安全域，选择合适的用户存储（文件、数据库或LDAP均可），添加WebService的用户名和密码
  2. 在EJB中通过LoginContext完成身份验证，获取凭据
• 优缺点：适合多用户、复杂认证场景，安全域自带密码加密和权限控制；但配置和代码实现相对复杂，适合有特殊需求的场景

总结 #

优先选择自定义JNDI资源，它兼顾了易用性、安全性和可维护性，完美满足你避免重新打包的需求，同时也是Java EE的标准实践，移植性更好。

内容的提问来源于stack exchange，提问作者Thomas P