microservices - 微服务 - 当未提供授权标头时，JWT 身份验证不会拒绝请求

Question

为了了解 JWT 身份验证实现标准，我尝试了带有 Microservice 3.3 的 Kumuluzee

该示例使用有效的 JWT 令牌正常工作，但没有问题。但是注意到的奇怪行为是目标端点仍然可以访问，而无需传递“Authorization”：“Bearer XXXXXX”标头。是否需要额外的配置来强制执行 JWT 身份验证实施的授权标头。

应用端点：

@ApplicationPath("/data")
@LoginConfig(authMethod = "MP-JWT")
@DeclareRoles({"protected"})
public class DemoRestApplication extends Application {
}

Kumuluzee 配置：

kumuluzee:
  name: demo
  version: 1.0-SNAPSHOT
  env:
    name: dev
  jwt-auth:
    public-key: XXXXXXX
    issuer: https://server.example.com
  server:
    http:
      port: 8180