java servlet过滤器：检查用户权限的最佳做法是什么？

Question

我有一个过滤器，它使用 ThreadLocal 将用户的凭据向下传播到堆栈中。我也想将相同的过滤器用于授权目的。

假设 webapp(ajax) 有大约 100 个 JSP，应用程序的一部分是使用普通 JSP 开发的，其余部分使用 Spring MVC 3（带有控制器和 JSP）。如果请求来自 .JSP 或 Spring MVC 控制的资源，我的第一个想法是

1. 列出实际需要授权的 JSP（和 Spring MVC 资源），然后
2. 检查用户的角色是否具有访问该资源（或 JSP）的权限。

如果应用程序有 100 多个此类资源要检查，那么将所有 JSP 名称都放在过滤器中是没有意义的（这也是维护的噩梦）。如果我要将所有 JSP 的列表移动到属性文件和该资源 (JSP) 所需的所有权限的相应列表中，那么我可以遍历 JSP 并检查用户是否具有所需的权限之一。

这个计划有意义吗？人们如何在服务器上实现 JSP/资源的授权？

Answer 1

我会让Spring Security 完成所有繁重的工作，而不是使用手工制作的解决方案。查看FAQ。