集成测试在OpenLiberty上通过JWT授权失败

Question

集成测试（生产代码运行良好）失败，同时请求RESTendpoint保护与@Role允许。抛出以下错误：

[5/20/19 8:44:21:363 CEST] 00000109 com.ibm.ws.security.jaspi.JaspiServiceImpl                   I CWWKS1652A: Authentication failed with status AuthStatus.SEND_FAILUR for the web request 
/banking/users/bed6109f-ef8a-47ec-8fa4-e57c71415a10. The user defined Java Authentication SPI for Containers (JASPIC) service null has determined that the authentication data is not valid.

项目基于JWT的OpenLiberty。不同之处在于UI部分。我的用户界面是基于Angular的，因此对于REST Endpoint以下的身份验证（JWT发布）使用：

@RequestScoped
@Path("/tokens")
@PermitAll
public class AuthResource {
    @Inject
    private SecurityContext securityContext;
    @Inject
    private AuthService authService;

    @GET
    @Produces(MediaType.APPLICATION_JSON)
    public Response getJwt() {
        if (securityContext.isCallerInRole("USER") || securityContext.isCallerInRole("ADMIN")) {
            String name = securityContext.getCallerPrincipal().getName();
            AuthPojo authPojo = authService.createJwt(name);

            return Response.ok(authPojo).build();
        }

        return Response.status(Response.Status.UNAUTHORIZED).build();
    }
}

因此：

1. UI（Angular）调用https://localhost:5051/tokens与Header授权：基本ENCODED_USERNAME_PASSWORD
2. 后端在正文和标题中使用新生成的JWT令牌进行响应"Set-Cookie： LitpaToken2=SOME_TOKEN； Path=/； HttpOnly"
3. UI将此令牌用于针对RESTendpoint的所有其他请求，这些endpoint注释为"@Role允许（{"ADMIN"，"USER" })"

同样，在生产代码中，所有这些模式都运行良好，但集成测试失败。

以下是集成测试代码：

public class MyResourceIT {
    private static final String URL = "https://localhost:" +
        System.getProperty("liberty.test.ssl.port") + "/users/" + USER_ID1;

    private String authHeader;

    @Before
    public void setup() throws Exception {
        authHeader = "Bearer " + new JwtVerifier().createAdminJwt(USER_NAME1);
    }

    @Test
    public void getUserAndAccounts() {
        Response response = HttpClientHelper.processRequest(URL, "GET", null, authHeader);
        System.out.println("My URL: " + URL);
        System.out.println("My Header: " + authHeader);

        assertThat("HTTP GET failed", response.getStatus(), is(Response.Status.OK.getStatusCode()));
    }
}

看起来，返回401而不是200的问题是LtpaToken2 Cookie，该Cookie未在测试中设置。而是使用头“授权：承载JWT\U令牌”，但这不起作用。

我希望当提供标头授权：承载JWT_TOKEN时，由"@Role允许"保护的endpoint应以200响应。有没有一些技巧应该用饼干来做？

更新2019-05-23

这就是整个项目。示例测试位于此处。失败的测试将被忽略

    @Test
    public void getUserAndAccounts_withJwt_authorized() throws IOException {
        Response response = HttpClientHelper.processRequest(URL, "GET", null, authHeader, null);

        assertThat(response.getStatus(), is(Response.Status.OK.getStatusCode()));
    }

JWT令牌是在@Before注释方法的以下类中创建的：

    private String authHeader;
    @Before
    public void setup() throws Exception {
        authHeader = "Bearer " + new JwtVerifier().createAdminJwt(USER_NAME1);
    }

需要注意的是，该项目基于以下项目。

Answer 1

由于CWWKS1652A消息是在没有提供程序名称的情况下发出的，这表明设置了appSecurity-3.0，并且至少通过注释或bean实现为应用程序配置了JSR-375（也称Java EE安全API规范）HttpAuthenticationMechanism。这会导致创建一个内部JASPIC提供程序，因此CWWKS1652A消息中的值为null，该提供程序调用已配置的HttpAuthenticationMechanism，该机制返回AuthStatus.SEND_失败状态。

请确保您打算使用HttpAuthenticationMechanism，并且在受到此机制质询时传递有效的身份验证凭据。

如果确定未配置HttpAuthenticationMechanism，则确定是否存在通过authconfigprovider.factory属性设置的外部JASPIC提供程序工厂（AuthConfigFactory实现）。在任何一种情况下，都是提供程序响应消息中显示的AuthStatus.SEND\u失败。