我是否有Java安全角色映射冲突

Question

我有一个拥有各种网址的客户服务应用程序。但是，一个URL（ adminquery ）严格保留给客户服务管理员，而不是场内代表。但是，只有当用户同时位于用户和管理组中时，才能访问整个应用。如果某人仅在用户组中，则他们无法访问任何资源。所以我认为我的映射中存在逻辑冲突，这会产生某种AND条件。

有人可以找到我在这里出错的地方吗？

的web.xml：

<security-constraint>
    <web-resource-collection>
        <web-resource-name>User</web-resource-name>
        <url-pattern>/cs/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>cs</role-name>
    </auth-constraint>
</security-constraint>

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Admin</web-resource-name>
        <url-pattern>/cs/adminquery</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name>
    </auth-constraint>
</security-constraint>

glassfish-web.xml映射

<security-role-mapping>
    <role-name>cs</role-name>
    <group-name>user</group-name>
    <group-name>admin</group-name>
</security-role-mapping>


<security-role-mapping>
    <role-name>admin</role-name>
    <group-name>admin</group-name>
</security-role-mapping>