是否可以禁用RoleBasedSecurityFilter。java的RESTEasy？

Question

我正在开发一个使用JBoss RESTEasy（RESTEasy-jaxrs-3.0.8）的Web应用程序，但我想禁用RoleBasedSecurityFilter。java，只使用我自己的自定义SecurityInterceptor类（它也实现javax.ws.rs.container.ContainerRequestFilter，就像RoleBasedSecurityFilter类一样，它们都是安全过滤器）。

这样做的原因是RoleBasedSecurityFilter.java的第43行调用了一个isUserInRole（）方法，该方法在我的应用程序中总是返回false。结果引发了一个ForbisdenExctive，这阻止了用户访问他应该访问的资源。

我真的很喜欢能够使用@RolesAllowed注释来声明哪些角色可以访问某些功能，但正如我所解释的，RoleBasedSecurityFilter类阻止了这一点。所以我的问题是，有人知道如何禁用一个特定的RESTEasy过滤器（即RoleBasedSecurityFilter）吗？

我认为这可能是在部署描述符（web.xml）中完成的（例如，使用上下文参数元素），但我不知道如何实际禁用过滤器。

我意识到我还可以更改RoleBasedSecurityFilter中的行。我正在使用的RESTEasy库中的java文件，但这种方法对我来说太黑客了，因为我不想每次升级RESTEasy版本时都不得不再次应用这种黑客。（但不确定这会有多频繁）

Answer 1

通过在web中添加此配置，可以启用/禁用基于角色的安全性。inf部署描述符。

<context-param>
    <param-name>resteasy.role.based.security</param-name>
    <param-value>true</param-value>
</context-param>

希望这有帮助。