1

我有一个在 wildfly 8.2 上运行的 Java EE EAR 应用程序，我正在尝试实现 Java EE 声明式安全性以保护对 EJB 方法的访问。因此，我已添加到standalone.xml

<security-domain name="MyDomain" cache-type="default">
    <authentication>
        <login-module code="Database" flag="required">
            <module-option name="dsJndiName" value="java:jboss/datasources/MyDatasource"/>
            <module-option name="principalsQuery" value="select password from user where username = ?"/>
            <module-option name="rolesQuery" value="select DISTINCT r.name, 'Roles' from role r left join user_roles ur on ur.role_id=r.id left join user u on u.id=ur.user_id where u.username= ? and u.status=1 and r.active=1"/>
            <module-option name="hashAlgorithm" value="SHA-256"/>
            <module-option name="hashEncoding" value="base64"/>
            <module-option name="unauthenticatedIdentity" value="guest"/>
        </login-module>
    </authentication>
</security-domain>

在 jboss-web.xml 我有

<?xml version="1.0" encoding="UTF-8"?>
<jboss-web xmlns="http://www.jboss.com/xml/ns/javaee" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="       http://www.jboss.com/xml/ns/javaee       http://www.jboss.org/j2ee/schema/jboss-web_5_1.xsd">
  <security-domain>MyDomain</security-domain>
  <disable-audit>true</disable-audit>
  <context-root/>
</jboss-web>

在 web.xml 我有

<login-config>
    <auth-method>FORM</auth-method>
    <realm-name>MyDomain</realm-name>
    <form-login-config>
        <form-login-page>/login.xhtml</form-login-page>
        <form-error-page>/login.xhtml?failed=true</form-error-page>
    </form-login-config>
</login-config>

在我拥有的其中一个 ManagedBeans 中

@Named("levelController")
@DeclareRoles({"Create-Level", "View-Level", "Edit-Level", "Delete-Level"})
public class LevelController implements Serializable {

   @DenyAll
   public String create() {
      //bla bla bla
   }

}

我从 jsf 访问了 levelController.create() 并且能够在不登录的情况下成功创建 Level。

这只是意味着安全注释不起作用/也许我做的不对。有人可以帮我找出问题所在吗

4

1 回答 1

1

@DenyAll 和@DeclareRoles（以及@RolesAllowed）仅适用于EJB（会话）bean，不适用于刚刚命名的bean。

尝试添加@Stateless 以使您的bean 成为会话bean，或者将@Stateful 与范围（例如@RequestScoped）结合使用。

于 2015-05-30T18:43:05.893 回答