java - JavaEE/JaaS 的属性/域安全性？

Question

RBAC 很好理解，因此这超出了 RBAC 的范围。

寻找一种有效/经过测试的方法来处理基于属性或域的安全性，以便主体可以具有 N 个属性(具有 N 个值)，这些属性将限制他们可以看到或不能看到的内容。我知道 acegi 可以处理这个问题，但是通过替换 JAAS，我想评估是否有一种方法可以与 JAAS 一起处理这个安全模型。

示例:

乔喜欢苹果、橙子、梨。

约翰喜欢橙子和西红柿。

简喜欢苹果，但对西红柿过敏(明确否认对西红柿过敏)。

您提供 100 种蔬菜和水果，并且专注于每种水果和蔬菜的特殊品种。

如果某人有权查看苹果，他们可以看到所有专门的苹果，例如“奶奶史密斯”，但如果他们没有“喜欢”属性/权限，则不允许查看其他专门类型的苹果。

技术上，每个主体都有与其关联的各种属性，这将限制它们从各种数据调用/更新中看到的内容，并寻找一种干净的方法来支持在 JavaEE 设置中使用主体的这些属性( ejb/servlet)。

提前致谢!

Answer 1

JAAS 没有指定 Java EE 容器应如何(甚至是否)实现此功能。因此，各种包含对此有(或没有)自己的支持。

因此，如果您希望它与 JAAS 一起工作，那么解决方案将是特定于容器的，或者是一个附加库，例如 acegi。