java - java中如何实现权限控制？

Question

我们开发了一个应用，需要实现权限控制，即只能查询数据库中的特定记录:

1. 员工只能搜索自己的记录。
2. 主管可以搜索下属的记录。
3. supervisor可以看到“approve”按钮来批准申请
4. 而工作人员只能提交申请。

我知道spring security，但实际上我们如何使用spring security来实现上面的功能呢？

我们可以用SQL来实现权限控制，就是先选择他的角色，然后再选择他下属的所有记录，这样:

select * from table where staffid in (.......)   

但是这种方法似乎太原始了，而且难以维护。所以我的问题是:是否有任何框架和实践可以用来实现像样的权限控制机制？您如何在您的应用中实现权限控制？

Answer 1

1) 员工只能搜索自己的记录。2) 主管可以查询下属的记录。

这些看起来像是您必须在 DAO 层实现的规则

3) supervisor可以看到“approve”按钮来批准申请

--这可以通过JSF中的UI Role-based rendering来完成

4) 而工作人员只能提交申请。

Spring Security Method Interceptors 可以在这里使用:http://static.springsource.org/spring-security/site/docs/3.0.x/reference/secure-object-impls.html