Java 用户更新自己的记录，能够评论其他记录

我对一个要求有点困惑。我需要有经验的意见

我有一个Spring安全，Struts 2应用程序。它使用不同的用户角色进行安全保护，如

角色用户

、

角色管理员

、以及

角色子管理员

。用户和子管理员输入产品信息。我有一个菜单选项“用户配置文件”，用户可以在其中查看自己的记录

ROLE\u用户

应该只能编辑他/她自己的产品，而

ROLE\u子管理员

应该可以编辑任何产品。任何用户（

ROLE\u user

或

ROLE\u SUBADMIN

）都应该能够对任何产品发表评论

实现这一目标的最佳方式是什么

Spring安全ACL

将用户ID与产品信息一起存储在数据库中，然后使用搜索查询显示记录并基于角色限制用户

处理此类情况的常见做法是什么

---

提前感谢您的专家意见。

如果您已经在使用Spring Security，则选项1）更适合于此。若并没有使用Spring安全性，那个么它就不再是这个问题的主题了。你说你已经在用了。您仍然需要实现ACL或选择其他已经实现ACL的解决方案。但是，如果您在实施我非常怀疑的选项2）时，您的需求没有增加，并且问题本身很模糊，那么选项2）会更快、更容易实施