在基于cas的Web应用程序中授权的最佳模式？

Question

我的Java EE应用程序部署在Glassfish 3.2.1上，并且需要对CAS服务器进行身份验证。 CAS服务器将经过身份验证的用户所属的所有Active Directory组的列表返回到主体。扩展javax.servlet.http.HttpServletRequestWrapper我能够覆盖在列表中搜索角色的getUserInRole方法。 它工作正常，但假设是：

• AD组和角色相同（一对一对应）
• 因此应用程序未定义角色：必须定义它们 作为AD小组
• 所以AD中的群体变得非常大。

最后一点至关重要，因为当其他应用程序使用相同的授权机制并需要多个角色时，AD组的数量会增加很多，并且getUserInRole函数花费的时间也会增加。

因此，即使此授权方法适用于少数角色和少数应用程序，但如果多个应用程序具有多个角色，则可能会出现性能问题。

现在的问题是：我是否可以使用其他模式来克服以下约束的性能问题？ CAS身份验证，GlassFish，Java EE应用程序。