“内容编辑者”Java EE 6 Web应用程序的设计/架构

Question

[Rev.02：由于Rev.01没有答案，请允许我重新说明我的问题]：

对于带有 JSF 2.x前端的Java EE Web app_，以下URL应该到位：

1. 最初（静态案例，以及成千上万本书中的例子）：

   • www.acme.org/app/
   • www.acme.org/app/index.jsf
   • www.acme.org/app/contact.jsf
   • www.acme.org/app/about.jsf
   • www.acme.org/app/provider-registration.jsf
   • www.acme.org/app/login.jsf
     在sys-admin和provider-admin之间有所不同，并将sys-admin重定向到：
   • www.acme.org/app/sys-admin-console.jsf
     以及下面列出的admin-console.jsf的提供者管理员。
     
     

2. 稍后（即动态创建和激活，以及我不清楚的方面）：

   • www.acme.org/app/providerName/
   • www.acme.org/app/providerName/index.jsf
   • www.acme.org/app/providerName/contact.jsf
   • www.acme.org/app/providerName/login.jsf适用于提供商管理员和提供商的客户

   • www.acme.org/app/providerName/admin-console.jsf

   • www.acme.org/app/providerName/pageX.jsf

   其中providerName是由提供商选择并由系统验证+授予的任意名称，pageX是由每个提供商独立创建和任意命名的一个或多个页面。

   < / LI>

3. “系统领域”将了解角色“sys-admin”和“provider-admin”，而每个“提供者领域”将了解“提供者 - 管理员”和“客户”角色。
   
   

我现在的问题是：

1. 从最初的FacesServlet中，我必须做些什么才能让这些“子领域”（子JSF-webapps）运行并且一个或多个Servlet运行良好（一起）？

2. 如何实施访问控制规则？
   （a）通过动态部署但静态的Servlet安全配置？或
   （b）通过app级别的内部安全组件而不是servlet / web-container级别？

我非常感谢任何帮助或处理此问题的示例的任何链接。
纳塔利娅。