@RunAs用於@WebService EJB

Question

我有一個匿名的WebService EJB - webservice調用工作正常。

現在我希望WebService將RunAs作為特定的SecurityRole。

在Webservice我有以下注釋：

@Stateless
@WebService
@DeclareRoles({ "LoggedUser" })
@SecurityDomain("my-jboss-real")
@RunAs("LoggedUser")
public class MyWebService { ...

現在我想從@RolesAllowed({"LoggedUser"})服務方法訪問帶有@RolesAllowed({"LoggedUser"})的@EJB ，我得到：

ERROR [org.jboss.aspects.tx.TxPolicy] javax.ejb.EJBTransactionRolledbackException: javax.ejb.EJBAccessException.message: 'Caller unauthorized'
WARN  [org.jboss.ejb3.stateless.StatelessBeanContext] EJBTHREE-1337: do not get WebServiceContext property from stateless bean context, it should already have been injected
ERROR [org.jboss.ws.core.jaxws.SOAPFaultHelperJAXWS] SOAP request exception
javax.ejb.EJBTransactionRolledbackException: javax.ejb.EJBAccessException.message: 'Caller unauthorized'
        at org.jboss.ejb3.tx.Ejb3TxPolicy.handleInCallerTx(Ejb3TxPolicy.java:115)

我正在使用JBoss 5.1GA

這是@RunAs的正確用法還是有另一種方法可以做到這一點。

編輯

添加：

@Resource
private WebServiceContext wsCtx;
@Resource
private EJBContext ejbCtx;

myWebServiceMethod(){
     ...
     System.out.println("EJBCtx: " + ejbCtx.getCallerPrincipal());
     System.out.println("EJBCtx: " + ejbCtx.isCallerInRole("LoggedUser"));
     System.out.println("WebContext: " + wsCtx.getUserPrincipal());
     System.out.println("WebContext: " + wsCtx.isUserInRole("LoggedUser"));
     ...

此輸出：

EJBCtx: anonymous
EJBCtx: false
WebContext: anonymous
WebContext: false

Answer 1

除了最基本的用例之外，JBoss AS 5和尤其是6在安全上下文和@RunAs方面都非常缺陷。

在AS 7中修復了大量這些錯誤。您可以嘗試在那里設置測試用例，看看是否遇到了同樣的問題。

要意識到@RunAs不適用於在應用了注釋的bean中運行的代碼。 相反，它僅適用於從該bean調用的bean。 您可以將其視為“傳出/傳出”角色。

更麻煩的是Java EE有一個嚴重的遺漏，那就是沒有辦法定義RunAs 身份 。 當您為“未經身份驗證的”身份定義RunAs角色時，某些服務器的反應不佳。 JBoss具有RunAs標識的專有注釋。 如果這會讓您更進一步，您可能想嘗試一下。