如何在Wildfly 8上的picketbox/undertow中捕获FailedLoginException以应用CORS

Question

在ContainerResponseFilter的帮助下，我可以将CORS头应用于所有传出的响应，而在ExceptionMapper中，我可以对所有错误和异常进行同样的处理，除了PicketBox/Undertow应该在Wildfly中抛出的任何与身份验证相关的异常。

无论我尝试什么，我的ExceptionMapper都无法捕捉到它，结果前端无法读取401状态，因为响应没有追加CORS头（XHR HTTP状态代码变成0）。

我使用这个PBKDF2设置来对MySQL数据库进行身份验证，起初我认为可能因为身份验证是在一个单独的模块中运行的，所以我的应用程序不会捕捉到它，但是即使在将所有的身份验证代码移到我自己的应用程序中之后，我也会遇到同样的问题。

这是我在尝试使用错误密码进行身份验证时得到的日志条目（当我根本不发送任何凭据时，我得到的日志条目非常相似）：

2014-11-29 16:11:08,053 TRACE[org.jboss.security]（默认任务-4)Pbox000224:End getAppConfigurationEntry(PBKDF2DatabaseDomain)，AuthInfo:AppConfigurationEntry[]:[0]LoginModule Class:com.example.myApplication.security.SaltedDatabaseServerLoginModule ControlFlag：LoginModule ControlFlag：LoginModule ControlFlag：required选项:name=DSJNDINAME,name=rolesquery,value=select角色,“roles”来自帐户，其中帐户。id=？

这是我的ExceptionMapper类（当前设置为捕获所有Throwables但徒劳地试图使其工作）：

@Provider
public class NotAuthorizedExceptionMapper implements ExceptionMapper<Throwable>{

@Override
public Response toResponse(Throwable exception) {
    Response response = Response.status(Response.Status.UNAUTHORIZED).build();
    response.getHeaders().putSingle("Access-Control-Allow-Origin", "*");
    response.getHeaders().putSingle("Access-Control-Allow-Methods", "OPTIONS, GET, POST, PUT, DELETE");
    response.getHeaders().putSingle("Access-Control-Allow-Headers", "origin, content-type, accept, authorization, access-control-allow-origin, access-control-allow-methods, access-control-allow-headers, allow, content-length, date, last-modified");
    return response;
}

我可以做些什么来捕捉这些身份验证异常并因此向它们追加CORS？

Answer 1

最后，我设法发现可以通过修改配置文件(standalone.xml)，向Wildfly上的所有无错误输出响应添加自定义头。这为我解决了问题：

    <subsystem xmlns="urn:jboss:domain:undertow:1.1">
        <buffer-cache name="default"/>
        <server name="default-server">
            <https-listener name="default" socket-binding="https" security-realm="ApplicationRealm"/>
            <host name="default-host" alias="localhost">
                <location name="/" handler="welcome-content"/>
                <filter-ref name="cors-origin"/>
                <filter-ref name="cors-methods"/>
                <filter-ref name="cors-headers"/>
            </host>
        </server>
        <servlet-container name="default">
            <jsp-config/>
        </servlet-container>
        <handlers>
            <file name="welcome-content" path="${jboss.home.dir}/welcome-content"/>
        </handlers>
        <filters>
            <response-header name="cors-origin" header-name="Access-Control-Allow-Origin" header-value="your-domain-here.com"/>
            <response-header name="cors-methods" header-name="Access-Control-Allow-Methods" header-value="OPTIONS, GET, POST, PUT, DELETE"/>
            <response-header name="cors-headers" header-name="Access-Control-Allow-Headers" header-value="origin, content-type, accept, authorization, access-control-allow-origin, access-control-allow-methods, access-control-allow-headers, allow, content-length, date, last-modified, if-modified-since"/>
        </filters>
    </subsystem>

编辑：原来Wildfly并没有将CORS头添加到未经授权的响应中，但是当它遇到500个错误时，它会非常巧妙地忽略它们。任何关于如何解决这个问题的想法都将受到高度赞赏。