Question

我正在开发一个小型后端。为了确保这一点，我想使用JWT。我的技术栈是：Payara和Keycloak 幸运的是，我找到了很棒的教程（https://kodnito.com/posts/microprofile-jwt-with-keycloak/）

针对作者的建议，我想通过web.xml保护/ resources / *下的所有端点。

这是我的web.xml：

...
<security-constraint>
        <display-name>App-Name</display-name>
        <web-resource-collection>
            <web-resource-name>App-Name</web-resource-name>
            <description/>
            <url-pattern>/resources/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <description/>
            <role-name>mysimplerole</role-name>
        </auth-constraint>
    </security-constraint>

    <security-role>
        <description/>
        <role-name>mysimplerole</role-name>
    </security-role>
...

到目前为止一切顺利。如果我向端点发送请求，例如http://localhost:8080/resources/test 我收到预期的401。

如果我将@LoginConfig（authMethod =“ MP-JWT”）添加到我的JAXRSConfiguration.java并再次调用端点。我收到200，但未发送任何内容，我希望收到401。如果我在请求中添加JWT令牌，则会显示200 +预期的内容。

TestResource.java：

@Path("test")
public class TestResource {

    @GET
    public Response test() {
        return Response.ok("HI").build();
    }
}

JAXRSConfiguration.java

@ApplicationPath("/resources")
@LoginConfig(authMethod = "MP-JWT")
public class JAXRSConfiguration extends Application {

}

问题是，如果没有/或无效令牌附加到请求中，我该怎么办才能收到401？

Answer 1

您的JAX-RS配置类缺少用于指定应用程序中所有可用角色的@DeclareRoles({ "mysimplerole", "USER" })批注。

@ApplicationPath("/resources")
@LoginConfig(authMethod = "MP-JWT")
@DeclareRoles({ "mysimplerole", "USER" })
public class JAXRSConfiguration extends Application {

}

Microprofile JWT web.xml返回200而不是401

1 个答案: