基于Keycloak的JEE应用权限异常：匿名主体与EJBAccessException问题

我之前在WildFly 11上整合Keycloak和EJB权限控制时，碰到过和你完全一样的问题——认证正常，但@RolesAllowed触发EJBAccessException，SessionContext.getCallerPrincipal()还返回匿名主体。折腾了好几天才把坑踩完，给你分享几个关键的排查和解决点：

1. 补全jboss-ejb3.xml的完整配置 #

你提供的配置内容被截断了，WildFly 11要让Keycloak的安全上下文正确传递到EJB层，这个配置文件必须完整且包含关键参数。正确的配置示例如下：

<?xml version="1.0" encoding="UTF-8"?>
<jboss:jboss xmlns="http://java.sun.com/xml/ns/javaee"
             xmlns:jboss="http://www.jboss.com/xml/ns/javaee"
             xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
             xsi:schemaLocation="http://java.sun.com/xml/ns/javaee http://java.sun.com/xml/ns/javaee/ejb-jar_3_1.xsd
             http://www.jboss.com/xml/ns/javaee http://www.jboss.org/j2ee/schema/jboss-ejb3_2_0.xsd"
             version="3.2" impl-version="2.0">
    <assembly-descriptor>
        <!-- 可提前声明需要用到的角色，也可根据需求省略 -->
        <security-role>
            <role-name>admin</role-name>
        </security-role>
        <security-role>
            <role-name>user</role-name>
        </security-role>
        
        <jboss:security>
            <!-- 匹配所有EJB，也可指定单个EJB名称 -->
            <ejb-name>*</ejb-name>
            <!-- 绑定Keycloak安全域 -->
            <jboss:security-domain>keycloak</jboss:security-domain>
            <!-- 核心配置：开启WildFly授权机制，否则EJB无法识别Keycloak的角色 -->
            <jboss:use-jboss-authorization>true</jboss:use-jboss-authorization>
        </jboss:security>
    </assembly-descriptor>
</jboss:jboss>

其中<jboss:use-jboss-authorization>true</jboss:use-jboss-authorization>是重中之重——它会让EJB使用WildFly的授权框架，而非Java EE默认机制，这是Keycloak角色能被EJB识别的前提。

2. 确保EJB的调用方式正确 #

如果你的JAX-RS资源是手动实例化EJB（比如用new YourEjb()），安全上下文是不会传递的，必然会得到匿名主体。必须通过依赖注入的方式获取EJB实例：

@Path("/api")
@SecurityDomain("keycloak")
public class YourRestResource {
    // 用@EJB注入EJB实例
    @EJB
    private YourSecureEjb yourSecureEjb;

    @GET
    @Path("/protected")
    @RolesAllowed("admin")
    public Response getProtectedData() {
        return Response.ok(yourSecureEjb.fetchData()).build();
    }
}

3. 确认EJB的安全域配置 #

要么在EJB类上直接标注@SecurityDomain("keycloak")，要么通过jboss-ejb3.xml统一配置（如上面的示例），两者选其一即可。如果EJB没有绑定Keycloak安全域，它会使用WildFly默认的安全配置，自然无法识别Keycloak的认证信息：

@Stateless
@SecurityDomain("keycloak") // 直接在EJB类上标注安全域
public class YourSecureEjb {
    @Resource
    private SessionContext sessionContext;

    @RolesAllowed("admin")
    public String fetchData() {
        Principal principal = sessionContext.getCallerPrincipal();
        // 现在应该能获取到正确的用户主体，而非匿名
        return "Data for user: " + principal.getName();
    }
}

4. 检查Keycloak角色映射一致性 #

确保Keycloak客户端/用户的角色名称，和你EJB中@RolesAllowed指定的角色名称完全一致。如果Keycloak里的角色是app-admin，但你EJB里写的是admin，就会触发权限异常。

如果需要做角色映射，可以在Keycloak的适配器配置（keycloak.json）中添加roleMappings：

{
  "realm": "your-realm",
  "resource": "your-client",
  "auth-server-url": "http://localhost:8080/auth",
  "credentials": {
    "secret": "your-client-secret"
  },
  "roleMappings": {
    "app-admin": ["admin"]
  }
}

5. 开启安全日志排查细节 #

如果上面的配置都没问题，还是出现异常，建议开启WildFly的安全相关DEBUG日志，查看认证授权的具体过程。在standalone.xml或domain.xml中添加日志配置：

<logger category="org.keycloak">
    <level name="DEBUG"/>
</logger>
<logger category="org.jboss.security">
    <level name="DEBUG"/>
</logger>

启动WildFly后，查看日志中是否有角色加载失败、安全上下文传递异常的信息，这能帮你快速定位问题根源。

6. 验证Keycloak适配器版本兼容性 #

WildFly 11对应的Keycloak适配器版本应该是3.4.3.Final或相近版本，如果你的适配器版本过高或过低，可能会出现兼容性问题，导致安全上下文无法正确传递。建议使用WildFly官方推荐的适配器版本。

内容的提问来源于stack exchange，提问作者Pablo Bastidas