Jakarta ee JavaEE：在web应用程序中实现角色管理

为特定JavaEEWeb应用程序提供角色管理系统的最干净的方法是什么

我听到的所有角色管理方法都用于保护glassfish容器本身。 我想要的是应用程序中的角色管理，即创建/删除角色并添加特定的允许操作，例如：“显示X类型的记录”、“从Y类型删除记录”等。也就是说，我必须能够在web应用程序中而不是在应用程序服务器中管理它们

---

是否有可用的现有解决方案？

使用管理控制台在Glassfish中创建一个安全域。一旦安全领域打开web.xml并配置登录内容和一组安全约束，指定可以访问特定路径（在本例中为受保护文件夹）的角色列表。所以下面的标记很奇怪..很抱歉

   <security-constraint>
        <display-name>Area protetta</display-name>
        <web-resource-collection>
            <web-resource-name>Area Protetta</web-resource-name>
            <description/>
            <url-pattern>/faces/protected/*</url-pattern>
            <url-pattern>/faces/faces/*</url-pattern>
            <url-pattern>/protected/*</url-pattern>
        </web-resource-collection>
        <auth-constraint>
            <description/>
            <role-name>admin</role-name>
            <role-name>broker</role-name>
        </auth-constraint>
    </security-constraint>

面积保护
面积保护
/面部/受保护/*
/面/面/*
/保护/*
管理
经纪人

您可以有多个约束，每个约束可能有N个重叠角色。设置好后，您可以创建web应用程序的一个部分来更改用户角色。更新用户角色时，其权限将相应更新

---

通过这种方式，您可以在应用程序中处理组，但您将安全检查委托给Glassfish。如果这是您第一次这样做，那么这可能是一个容易出错的过程。请随时用您的进展更新您的帖子，我会提供帮助。

hmmmm。我不想处理对特定资源（文件）的访问，而只想处理对特定功能的访问。例如，在web视图中，如果不允许用户这样做，我想隐藏特定的按钮（例如“创建实体”）。在服务器端，必须再次检查。我的要求：用户有角色，角色=访问权限集。用户和角色应可在web-app中管理。这是可行的，但取决于您用于视图的技术。您在使用JSF吗？这是一个重要方面：我不想保护url模式，但希望保护功能。我通过使用拦截器和过滤器解决了这个问题，通过使用持有用户和角色的会话bean检查凭据。