我们目前正在从遗留安全子系统迁移到 Elytron，并在 JBoss EAP 7.3.6 中部署了一个基于 Struts2 的 Web 应用程序，它应该支持多种“风格”的身份验证。
登录的标准方式应该是用户在登录表单 ( j_security_check) 中手动提供凭据并单击相应的按钮。这适用于我们的设置中的 Elytron。
第二种可能性是，对 Web 应用程序的受保护内容的 GET 请求可以包含一个包含 JWT 令牌的自定义 cookie。io.undertow.server.HttpHandler这个 cookie 被在其io.undertow.server.HttpHandler#handleRequest方法中处理传入请求的 a 拦截。此处理程序由io.undertow.servlet.api.DeploymentInfo#addSecurityWrapper的DeploymentInfo实现提供的注册io.undertow.servlet.ServletExtension。已在ServletExtension中注册为服务提供者META-INF/services/io.undertow.servlet.ServletExtension。
我们实现中的请求处理io.undertow.server.HttpHandler#handleRequest从 cookie 中提取 JWT 令牌，对其进行预验证并确定包含的用户名。此用户名和作为密码的令牌用作调用的输入javax.servlet.http.HttpServletRequest#login。
对于旧版安全子系统，服务器的行为是，此登录调用触发了针对配置的旧版安全域的身份验证，并在 Undertow 中创建了一个会话，因此前一个 GET 请求的 HTTP 200 响应包含一个Set-Cookie带有新的标头JSESSIONID曲奇饼。
使用 Elytron，javax.servlet.http.HttpServletRequest#login不会执行任何操作，既不会触发针对 Elytron 安全域和安全域的身份验证，也不会触发会话的创建。浏览器只显示登录表单，所述拦截过程应跳过该表单。
我调试了javax.servlet.http.HttpServletRequest#loginJBoss 附带的实现。我们从io.undertow.servlet.spec.HttpServletRequestImpl#loginwhich calls开始login = sc.login(username, password)。这SecurityContext在使用 Elytron 时是org.wildfly.elytron.web.undertow.server.SecurityContextImpl. org.wildfly.elytron.web.undertow.server.SecurityContextImpl#login首先检查if (httpAuthenticator == null)。httpAuthenticator是唯一org.wildfly.elytron.web.undertow.server.SecurityContextImpl#authenticate一个被调用调用的集合javax.servlet.http.HttpServletRequest#authenticate。
这就解释了为什么一个简单的调用io.undertow.servlet.spec.HttpServletRequestImpl#login什么都不做。我尝试先调用javax.servlet.http.HttpServletRequest#authenticate，在内部实例化它httpAuthenticator，然后javax.servlet.http.HttpServletRequest#login. 这至少最终触发了针对配置的 Elytron 安全域和安全域的身份验证和授权。身份验证/授权成功，但 Undertow 仍然没有发出新的JSESSIONIDcookie，浏览器再次显示登录表单，而不是继续访问受保护的资源。
我目前没有想法，如何处理这个问题以及如何实现与遗留安全子系统相同的行为。为什么 Elytron 的实现io.undertow.security.api.SecurityContext与旧版安全 ( io.undertow.security.impl.SecurityContextImpl) 的行为如此不同？我应该如何使用 Elytronjavax.servlet.http.HttpServletRequest#login和/或以编程方式登录基于 FORM 的 Web 应用程序javax.servlet.http.HttpServletRequest#authenticate？
所有这些的相关 JBoss 配置如下所示：
暗流：
<application-security-domains>
<application-security-domain name="my_app_security_domain" http-authentication-factory="MyHttpAuthFactory"/>
</application-security-domains>
爱丽创：
<security-domains>
<security-domain name="MySecurityDomain" default-realm="MyCachingRealm" permission-mapper="default-permission-mapper">
<realm name="MyCachingRealm" role-decoder="FromRolesAttributeDecoder"/>
</security-domain>
</security-domains>
<security-realms>
<custom-realm name="MyCustomRealm" module="module name redacted" class-name="class name redacted"/>
<caching-realm name="MyCachingRealm" realm="MyCustomRealm" maximum-age="300000"/>
<identity-realm name="local" identity="$local"/>
</security-realms>
<mappers>
<simple-permission-mapper name="default-permission-mapper" mapping-mode="first">
<permission-mapping>
<principal name="anonymous"/>
<permission-set name="default-permissions"/>
</permission-mapping>
<permission-mapping match-all="true">
<permission-set name="login-permission"/>
<permission-set name="default-permissions"/>
</permission-mapping>
</simple-permission-mapper>
<constant-realm-mapper name="local" realm-name="local"/>
<constant-realm-mapper name="MyRealmMapper" realm-name="MyCachingRealm"/>
<simple-role-decoder name="FromRolesAttributeDecoder" attribute="Roles"/>
</mappers>
<http>
<http-authentication-factory name="MyHttpAuthFactory" security-domain="MySecurityDomain" http-server-mechanism-factory="global">
<mechanism-configuration>
<mechanism mechanism-name="FORM" realm-mapper="MyRealmMapper">
<mechanism-realm realm-name="MyRealm"/>
</mechanism>
</mechanism-configuration>
</http-authentication-factory>
<provider-http-server-mechanism-factory name="global"/>
</http>