java - 在 Java EE 项目中使用 java.security.acl 的优缺点

Question

我将使用 java.security.acl 实现访问控制列表，以在用户帐户页面中显示允许的项目。

比如有一些用户和用户组，用户和组可以有一些权限。用户帐户页面中有一些链接，它们是添加、删除、编辑和查看。所有用户的用户帐户页面都是相同的，但链接(添加、删除、编辑和查看)将根据用户权限显示不同。

我可以使用集合框架 完成这项任务。我将在 ERP(企业应用程序)的初始开发中使用 java.security.acl 来实现它。我想知道这个实现是否会有任何安全漏洞或其他问题(甚至在将来)。我怀疑的原因是 when I visited a site which says 不推荐使用这个包。

使用这个包代替集合框架有什么优势吗？在Java EE 项目中是否有需要实现此包的情况？欢迎您的所有建议、意见和忠告。

Answer 1

我想现在提供答案可能为时已晚，但我遇到了这个问题，而且我刚刚阅读了有关 ACL 的内容。

首先，java.security.acl 中的类已被 java.security 包中的类取代 如前所述 here .作为一般策略，在进行新开发时，我更愿意只使用最新的 API。

第二个； java.security 包中的类可能仅用于保护系统资源，例如 file I/O 和 network I/O 或打印机等等。正如最后一段中提到的那样，保护应用程序的域对象并不是它们的本意 here .

你可以看看spring-security-acl为此目的，或推出您自己的解决方案(如您在问题中提到的)。

使用这个包代替集合框架有什么优势吗？

好吧，这取决于您要实现的目标，但是，对于您的情况，这个问题并不相关。

在Java EE项目中有没有需要实现这个包的情况？

不，不需要，除非您需要访问客户端的资源，或者计划使用自定义基于套接字的 SSL/TLS 通信。