Добавьте заголовки CORS в ответ j_security_check

Настройка подсистемы undertow в файле standalone.xml/domain.xml решила эту проблему для меня. Настроенные там фильтры обрабатывают все запросы, включая j_security_check один.

<subsystem xmlns="urn:jboss:domain:undertow:3.0">
            <buffer-cache name="default"/>
            <server name="default-server">
                <http-listener name="default" redirect-socket="https" socket-binding="http"/>
                <host name="default-host" alias="localhost">
                    <location name="/" handler="welcome-content"/>
                    <filter-ref name="server-header"/>
                    <filter-ref name="x-powered-by-header"/>
                    <!--CORS headers -->
                    <filter-ref name="Access-Control-Allow-Origin"/>
                    <filter-ref name="Access-Control-Allow-Methods"/>
                    <filter-ref name="Access-Control-Allow-Headers"/>
                    <filter-ref name="Access-Control-Allow-Credentials"/>
                    <filter-ref name="Access-Control-Max-Age"/>
                </host>
            </server>
            <servlet-container name="default">
                <jsp-config/>
                <websockets/>
            </servlet-container>
            <handlers>
                <file name="welcome-content" path="${jboss.home.dir}/welcome-content"/>
            </handlers>
            <filters>
                <response-header name="server-header" header-value="WildFly/10" header-name="Server"/>
                <response-header name="x-powered-by-header" header-value="Undertow/1" header-name="X-Powered-By"/>
                <!-- CORS headers -->
                <response-header name="Access-Control-Allow-Origin" header-name="Access-Control-Allow-Origin" header-value="*"/>
                <response-header name="Access-Control-Allow-Methods" header-name="Access-Control-Allow-Methods" header-value="OPTIONS, GET, POST, PUT, DELETE"/>
                <response-header name="Access-Control-Allow-Headers" header-name="Access-Control-Allow-Headers" header-value="accept, authorization, content-type, x-requested-with"/>
                <response-header name="Access-Control-Allow-Credentials" header-name="Access-Control-Allow-Credentials" header-value="true"/>
                <response-header name="Access-Control-Max-Age" header-name="Access-Control-Max-Age" header-value="60"/>
            </filters>
        </subsystem>

Конечно, вам лучше заменить подстановочный знак "*" URL-адресом вашего GUI-сервера в атрибуте value заголовка Access-Control-Allow-Origin.

Выполняйте вход самостоятельно.

Вместо публикации на j_security_check отправьте сообщение на /auth/login или что-то в этом роде и обработайте логин. Что-то вроде этого:

@POST
@Path("login")
@PermitAll
public Response postLogin() {
    String user = request.getParameter("j_username");
    String password = request.getParameter("j_password");
    StringBuffer buf = request.getRequestURL();
    URI redir = null; 
    try {redir = new URI(buf.substring(0, buf.lastIndexOf("/login")) + "/session");} 
    catch (URISyntaxException e) {}
    try {
        request.login(user, password);
        return Response.seeOther(redir).build();
    } catch (ServletException e) {
        if (e.getMessage() != null && e.getMessage().equals("UT010030: User already logged in")) {
            Response.seeOther(redir).build();
        }
        return Response.status(Status.FORBIDDEN).build();
    }
}

На основе ответа nfedorov , я пришел к выводу, что он прав и что фильтр Undertow — единственный тип фильтра, который может работать с ответами контейнера. Поэтому, если мы хотим добавить к этим ответам заголовки CORS, нам нужен фильтр Undertow. Итак, я написал один:

undertow-cors-filter

Загрузите ZIP-файл и разархивируйте его в корневую папку Wildfly. Затем добавьте конфигурацию filter в standalone.xml:

<filters>
  <filter name="undertow-cors-filter" class-name="com.stijndewitt.undertow.cors.Filter" module="com.stijndewitt.undertow.cors">

  </filter>
</filters>

Добавьте filter-ref к элементу host (все еще в standalone.xml):

<host name="default-host" alias="localhost">
  <filter-ref name="undertow-cors-filter" />
</host>

Это добавит заголовки CORS, разрешающие всем источникам доступ ко всем ответам, которые выдает этот сервер.

Добавьте params к определению filter, чтобы настроить поведение. Например, если вы хотите, чтобы фильтр применялся только к ответам на запросы к URL-адресам, начинающимся с /api, и вы хотите разрешить доступ только к example.com и example.org, вы можете использовать конфигурацию, подобную этой:

<filters>
  <filter name="undertow-cors-filter" class-name="com.stijndewitt.undertow.cors.Filter" module="com.stijndewitt.undertow.cors">
    <param name="urlPattern" value="^http(s)?://([^/]+)(:([^/]+))?(/([^/])+)?/api(/.*)?$" />
    <param name="policyClass" value="com.stijndewitt.undertow.cors.AllowMatching" />
    <param name="policyParam" value="^http(s)?://(www\.)?example\.(com|org)$" />   
  </filter>
</filters>

Доступны 3 класса политик: AllowAll, AllowMatching и Whitelist, и при необходимости вы можете написать свои собственные политики.