基于用户的CDI和JSF 2授权

Question

我需要实现授权系统，其中权限是个人的，因此每个用户都可以访问特定页面和特定功能，例如：

  

用户A - ＆gt;客户页面（读取，创建，更新，删除），产品页面（读取，创建，更新，删除）

     

用户B - ＆gt;客户页面（读取，创建），产品页面（读取，删除）

     

用户C - ＆gt;制造商页面（阅读，创建）

     

管理员用户 - ＆gt; ALL

此外，我希望配置文件具有预先确定的权限，但用户可以拥有比这些配置文件更多的权限。 我试图使用JAAS，但是要理解角色和组的位置是很复杂的，我还需要通过数据库控制对屏幕的访问，我看到的JAAS每个教程都使用web.xml和Roles之类的组（ADMIN，USER，GUEST，ETC）因此我不能动态地为用户执行此操作。

有任何建议或示例吗？

Answer 1

您需要的是基于权限的安全性。但是Java EE只知道基于角色的安全性。

每个用户都有一个或多个角色。您需要的是一个角色或一个用户可以拥有一个或多个权限。

Java EE在这里没有帮助。所以你需要第三方库或者自己实现它。

我知道以下第三方图书馆实现了这个目标：

• Spring Security（http://docs.spring.io/spring-security/site/docs/4.0.0.RC1/reference/htmlsingle/）
• Apache Shiro（https://shiro.apache.org）

那里还有很多......