IIOP1002：主体传播：在主题中找不到主体信息 - Apache Shiro + EJB

Question

我正在使用 Shiro Security 来保护 JSF 项目。

它按预期工作，包括对远程 EJB（不安全）的调用。但是，当调用不安全的 EJB 时，我会收到以下警告，但该方法的执行没有问题：

IIOP1002: Principal propagation: Cannot find principal information in subject

这到底是什么意思？我应该怎么做才能解决这个问题？我需要从安全的应用程序在远程 EJB 中执行该方法，并且每次调用 EJB 时都会将这个警告转储到日志中（这种情况会发生多次）。

编辑：

当我将项目部署在与 EJB 相同的 Glassfish 服务器中时，不会出现警告。

编辑 2：

在调用 EJB 之前，我曾考虑在 InitialContext 中插入主体信息，如下所示：

Hashtable env = new Hashtable();
env.put(Context.SECURITY_PRINCIPAL, SecurityUtils.getSubject().getPrincipal());
ctx = new InitialContext(env);

还是没有运气。

SecurityUtils 来自org.apache.shiro.SecurityUtils 库。

Answer 1

Apache Shiro 是一个应用层安全解决方案。据我所知，它没有以任何方式与您的应用程序服务器集成。

Java EE 服务器通常期望负责身份验证、授权等。因此，它能够在进行本地和远程 EJB 调用时正确传播凭据。这就是javax.annotation.security.RolesAllowed 等功能的实现方式。