WildFly中如何通过web.xml禁止已认证用户访问登录注册页？

当然可以！利用web.xml中的安全约束配置，结合WildFly安全域，完全能实现禁止已认证用户访问登录页（login.jsp）和注册页（register.jsp）的需求。

核心实现思路 #

我们需要给这些页面添加仅允许未认证用户访问的安全规则——本质是拒绝所有通过WildFly安全域完成认证的用户访问目标资源。

完整配置片段 #

你提供的初始配置缺少了关键的<auth-constraint>部分，这是实现访问控制的核心。以下是补全后的完整配置：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Restrict Auth Users from Login/Register</web-resource-name>
        <description>Prevent authenticated users from accessing login and registration pages</description>
        <url-pattern>/login.jsp</url-pattern>
        <url-pattern>/register.jsp</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
        <!-- 可根据需求添加其他HTTP方法，如PUT/DELETE -->
    </web-resource-collection>
    <!-- 关键：拒绝所有已认证用户（*代表所有已分配角色的用户） -->
    <auth-constraint>
        <role-name>*</role-name>
    </auth-constraint>
    <!-- 可选：若需强制HTTPS访问，将transport-guarantee改为CONFIDENTIAL -->
    <user-data-constraint>
        <transport-guarantee>NONE</transport-guarantee>
    </user-data-constraint>
</security-constraint>

配置关键点说明 #

• <web-resource-collection>：明确指定需要保护的资源路径和HTTP方法，覆盖GET（页面访问）和POST（表单提交）这两个最常用的场景，避免出现访问漏洞。
• <auth-constraint>中的<role-name>*</role-name>：WildFly中所有已认证的用户都会被分配至少一个角色（哪怕是默认角色），这个配置会拒绝所有拥有角色的用户，也就是所有已认证用户。未认证用户不受此约束，可正常访问登录/注册页。
• 如果你应用中配置了专属的未认证角色（比如guest），也可以改为仅允许该角色访问，效果一致：

  <auth-constraint>
      <role-name>guest</role-name>
  </auth-constraint>
  

  不过使用*拒绝所有已认证角色的方式更通用，无需依赖特定的未认证角色配置。

额外注意事项 #

确保你的WildFly安全域已经正确完成角色映射配置，这样认证后的用户才能被正确赋予角色，上述安全约束才能生效。

内容的提问来源于stack exchange，提问作者steve1337