CDI 和 JSF 2 的基于用户的授权

Question

我需要实现一个权限是个人的授权系统，所以每个用户都可以访问特定的页面和特定的功能，例如。：

用户 A -> 客户页面（读取、创建、更新、删除）、产品页面（读取、创建、更新、删除）

用户 B -> 客户页面（读取、创建）、产品页面（读取、删除）

用户 C -> 制造商页面（读取、创建）

管理员用户 -> 全部

另外，我希望配置文件具有预先确定的权限，但用户可能拥有比这些配置文件更多的权限。 我正在尝试为此使用 JAAS，但是要了解角色和组的位置很复杂，我还需要通过数据库控制对屏幕的访问，我看到的每个 JAAS 教程都使用 web.xml 和角色，如组（ ADMIN、USER、GUEST、ETC），所以我不能为用户动态和单独地执行此操作。

有什么建议或例子吗？

Answer 1

您需要的是基于权限的安全性。但是 Java EE 只知道基于角色的安全性。

每个用户都有一个或多个角色。您需要的是一个角色或一个用户可以拥有一个或多个权限。

Java EE 在这里没有帮助。因此，您需要第三方库或自行实施。

我知道以下第 3 方库来实现这一目标：

• Spring Security (http://docs.spring.io/spring-security/site/docs/4.0.0.RC1/reference/htmlsingle/)
• Apache Shiro (https://shiro.apache.org)

还有更多……