将 HTTP Request.login 与 JBoss/JAAS 一起使用

Question

我已经成功设置了 JBoss 安全域，并且可以使用 BASIC 身份验证（如 web.xml 中定义）进行身份验证。 这一切都很好。 但是，我无法弄清楚如何使用 http request.login 方法。

以下安全域（来自 jboss-web.xml）适用于 BASIC 身份验证：

<jboss-web>  
    <context-root>/myapp</context-root>  
    <security-domain>java:/jaas/myapp-realm</security-domain>  
</jboss-web> 

但是当我使用 request.login 如下：

public void login() {
    FacesContext context = FacesContext.getCurrentInstance();
    HttpServletRequest request = (HttpServletRequest) context.getExternalContext().getRequest();
    try {
        request.login(username, password);
    }
    catch (ServletException ex) {
        java.util.logging.Logger.getLogger(UserLogin.class.getName()).log(Level.SEVERE, null, ex);
    }
}

我得到以下异常：

javax.servlet.ServletException: Failed to authenticate a principal

我知道用户名/密码很好（使用 BASIC auth 可以正常工作）。 我有 TRACE 级别的登录，看起来它甚至没有尝试进行身份验证。 我错过了什么？

如果您需要有关我的设置/配置的更多详细信息，请参阅http://java-web-development.blogspot.com/2011/07/jee-6-security-part-two-implementation.html 。 我正在使用 JBoss 6。

Answer 1

它现在正在工作。 我确保基于 FORM 的身份验证有效，一旦有效，我就回到使用 request.login 并且它有效吗？ 我通过 JRebel 使用热部署，因此有可能我已经使用 BASIC auth 进行了身份验证，并且它在我的 session 中留下了一个用户主体，然后导致 request.login 失败（如果您已经通过身份验证，request.login 会引发异常），我发誓我已经硬重启了 JBoss。 但这是我能想到的唯一合乎逻辑的事情。

我现在对登录进行了健全性检查，如下所示：

public void login() {
    FacesContext context = FacesContext.getCurrentInstance();
    HttpServletRequest request = (HttpServletRequest) context.getExternalContext().getRequest();
    try {
        Principal userPrincipal = request.getUserPrincipal();
        if (request.getUserPrincipal() != null) {
            request.logout();
        }
        request.login(username, password);
        userPrincipal = request.getUserPrincipal();
        authUser = userDao.findByLogin(userPrincipal.getName());
    }
    catch (ServletException ex) {
        java.util.logging.Logger.getLogger(UserLogin.class.getName()).log(Level.SEVERE, null, ex);
    }