JBoss EAP 7.1 JDBC Realm配置后基础认证失效问题求助

这种隐性的认证失败问题很常见，通常是配置细节、数据源或安全域的隐性异常导致的。虽然日志没报错，但我们可以从以下几个方向逐步排查：

1. 先确认核心配置文件的正确性 #

首先检查web.xml和jboss-web.xml的配置是否严格符合JBoss EAP 7.1的规范：

web.xml 参考配置 #

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Protected Resources</web-resource-name>
        <url-pattern>/secure/*</url-pattern> <!-- 确保保护路径和你实际访问的路径一致 -->
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name> <!-- 要和数据库中存储的角色名称完全匹配（大小写敏感） -->
    </auth-constraint>
</security-constraint>

<login-config>
    <auth-method>BASIC</auth-method> <!-- 必须全大写，拼写错误会直接导致认证流程异常 -->
    <realm-name>JDBCRealm</realm-name> <!-- 要和jboss-web.xml中的安全域名称完全对应 -->
</login-config>

<security-role>
    <role-name>admin</role-name> <!-- 必须显式定义用到的角色，否则会出现权限不匹配 -->
</security-role>

jboss-web.xml 参考配置 #

<jboss-web>
    <security-domain>java:/jaas/JDBCRealm</security-domain> <!-- 安全域的JNDI名称，要和JBoss全局配置中的安全域一致 -->
    <disable-audit>false</disable-audit> <!-- 开启审计，可能会帮你捕获到隐性的权限校验细节 -->
</jboss-web>

2. 验证JDBC Realm安全域的全局配置 #

打开JBoss的standalone.xml（或domain.xml），检查安全域的配置是否存在疏漏：

<security-domain name="JDBCRealm" cache-type="default">
    <authentication>
        <login-module code="Database" flag="required">
            <module-option name="dsJndiName" value="java:/jdbc/YourDataSource"/> <!-- 数据源必须已正确配置且能正常连接数据库 -->
            <module-option name="principalsQuery" value="SELECT password FROM users WHERE username=?"/> <!-- 确保SQL能正确查询到用户密码，表名、字段名和数据库一致 -->
            <module-option name="rolesQuery" value="SELECT role, 'Roles' FROM user_roles WHERE username=?"/> <!-- SQL格式必须是「角色名, 'Roles'」，注意第二个固定值不能错 -->
            <module-option name="hashAlgorithm" value="SHA-256"/> <!-- 如果密码是明文存储，直接删除这个选项和下面的hashEncoding -->
            <module-option name="hashEncoding" value="hex"/> <!-- 加密密码的编码方式，比如hex/base64，要和存储的密码格式匹配 -->
        </login-module>
    </authentication>
</security-domain>

重点检查：

• 数据源是否能正常连接：可以在JBoss控制台的「数据源」菜单测试连接；
• SQL语句是否正确：直接在数据库客户端执行principalsQuery和rolesQuery，确认能返回正确的用户密码和角色；
• 密码加密配置：如果数据库存的是明文，不要加哈希算法相关配置，否则会导致密码匹配失败。

3. 提升日志级别捕获隐性错误 #

默认日志级别可能会过滤掉认证过程的细节，你可以临时调整日志级别来获取更多信息：
在standalone.xml中添加或修改以下日志配置：

<logger category="org.jboss.security">
    <level name="DEBUG"/>
</logger>
<logger category="org.apache.catalina.authenticator">
    <level name="DEBUG"/>
</logger>

重启JBoss后再次访问受保护资源，查看日志里的认证流程细节，通常能找到问题根源（比如数据源连接失败、SQL查询报错、密码不匹配等）。

4. 排除浏览器缓存和请求异常 #

有时候浏览器缓存会干扰认证弹窗的触发，你可以：

• 用Firefox隐私窗口（Ctrl+Shift+P）访问受保护资源；
• 清空浏览器的「已保存的登录信息」和缓存；
• 用curl命令测试，看服务器是否返回正确的认证响应头：

curl -v http://your-server:port/secure/your-resource

如果响应头包含WWW-Authenticate: Basic realm="JDBCRealm"，说明服务器已经触发认证流程，问题可能在浏览器端；如果没有这个响应头，说明服务器端的安全约束配置存在问题。

5. 检查应用部署和依赖冲突 #

• 查看JBoss控制台的部署状态，确认应用是否成功部署，有没有警告信息；
• 检查应用WEB-INF/lib目录，避免引入和JBoss自带安全组件冲突的jar包（比如jboss-security-api.jar等）；
• 部署一个极简测试应用（只包含基础安全配置和一个受保护页面），排除应用复杂逻辑的干扰。

6. 验证数据库用户和角色数据 #

• 确保测试用户存在于数据库中，密码（如果加密）是用正确的算法生成的；
• 确保该用户关联的角色名称和web.xml中定义的<role-name>完全一致（大小写敏感）。

内容的提问来源于stack exchange，提问作者user9321096