保护EJB3。1-Webservice（在JBoss Wildfly 8.2中）

Question

我有一个几乎完成的EJB3网络项目。1在Wildfly 8.2中作为战争部署。它由一个带有表单身份验证（auth-method-form）的自编JAAS域保护。

现在我想添加一个EJB-Webservice，它基本上被定义为

@Stateless
@WebService
public class ProductImportWebservice {
    @Resource 
    WebServiceContext wsContext;

    [...]

    @WebMethod
    public Product createOrFind(String name) {
       [...]
    }
}

webservice按预期工作，但现在我有一个问题，我想通过用户名/密码保护对webservice的访问。所以我用

@RolesAllowed("ADMIN")

这是JAAS身份验证中的有效角色。效果：SOAP客户端获得Answare“Requeust not allowed/not authenticated”（请求不允许/未验证），但没有获得任何验证请求，并且忽略了使用基本验证的尝试。如果我将web服务的URL添加到web中的安全约束中。xml我收到一个身份验证请求。。。但现在的问题是，它是基于表单的身份验证——正如浏览器用户所期望的那样。这对于“普通”SOAP客户端是不可用的：-(

现在的具体问题是：有没有一种方法既可以对Web服务进行基本身份验证，也可以对应用程序的其余部分进行基于表单的身份验证？

我认为唯一的其他方法是将WAR包拆分为EAR包，并在不同的网络上下文中部署网络服务。

Answer 1

现在的具体问题是：有没有一种方法既可以对Web服务进行基本身份验证，也可以对应用程序的其余部分进行基于表单的身份验证？

不能对同一web应用程序同时使用表单和基本身份验证。

如果需要这样做，请使用共享的代码库创建两个独立的应用程序。

参考：

https://docs.oracle.com/javaee/7/tutorial/security-webtier002.htm#JEETT01227

auth method子元素配置web应用程序的身份验证机制。元素内容必须是NONE、BASIC、DIGEST、FORM或CLIENT-CERT。