Framework như Spring Security cho Java EE?

Question

Bảo mật mùa xuân cung cấp nhiều cơ chế bảo mật mạnh mẽ nhưng không phù hợp với môi trường Java EE (EJB). Một vấn đề là Spring Security lưu trữ SecurityContext trong một đối tượng ThreadLocal không thích hợp cho các cluster. Spring Security dựa vào các dịch vụ (AOP chẳng hạn) từ lõi Spring không có sẵn nếu container EJB quản lý đối tượng. Và Spring Security cần lõi Spring để tự kết nối, những gì tôi muốn tránh vì Java EE đã có các cơ chế tiêm phụ thuộc.

Có khung bảo mật được thiết kế riêng cho Java EE không? Tôi muốn có ACL hoặc cơ chế vai trò linh hoạt hơn chẳng hạn.

Answer 1

Nếu không phải mô hình bảo mật Java EE hay Spring Security phù hợp với nhu cầu của bạn, thì tôi e rằng bạn sẽ phải tung ra giải pháp tùy chỉnh của riêng mình - có thể là tùy chỉnh JAAS LoginModule - ít nhất không phải trong thế giới nguồn mở đối với kiến ​​thức của tôi). Nhưng lưu ý, JAAS không thực sự là một API dễ chịu và điều này sẽ không phải là một nhiệm vụ dễ dàng. Thêm tài nguyên về chủ đề này trong Further Information about Security (xem phần dưới cùng của trang).

Answer 2

Bạn đã thử Seam Security chưa? Nó hỗ trợ ACL, nếu tôi nhớ chính xác.