javax.annotation.security 不是基于角色的访问控制？

Question

当我查看Role Based Access Control时(RBAC) 我看到一种模型，其中用户是一个或多个角色的成员，并且角色拥有授予操作的权限。也就是说，一个操作(例如方法)必须确保主体授予该操作的权限。主体的角色拥有这些权限。

  [subject] * <-> * [role] * <-> * [permission] * <-> * [operation]

但是，当我查看 javax.annotation.security 包时，它定义了一个更加简单的模型，该操作仅检查角色名称。据我所知，这不是 RBAC，而是相当于基于组的权限检查。管理员无法将操作分配给角色，但必须遵守开发人员的决定。我预计这会显着增加角色数量并使系统更难以维护。

  [subject] * <-> * [role] * <-> * [operation]

我对此的理解正确还是我错过了什么？

Answer 1

权限是(资源、操作)，而不是[subject] * <-> * [role] * <-> * [permission] * <-> * [operation] .

javax.annotation.security包很旧而且不太灵活。您可以使用Casbin:https://casbin.org/