决定不使用AcegiSecruity的ACL做实例级权限控制

网上看了一下，大部分都对AcegiSecruity的ACL评价不高。配置复杂，有侵入性，数据量大的时候影响效率。Alarmnummer提出了Condition Role的方法来实现实例级的控制，这是他的文章http://peter.jteam.nl/?p=2。他的想法的确可以做到实例级上的控制，但是如果控制规则很复杂，控制表达式就必然变得很复杂。我还是觉得，如果把控制规则抽取出来的话，使用规则引擎更好，更规范，也更成熟。使用规则引擎的话，觉得就不必要把实例级的控制逻辑和业务逻辑分开了，本来划分它门就是很困难的。如果使用规则引擎，实例级权限控制和业务逻辑就可以通过配置来实现，而这些配置是很容易修改的，组件本身与业务逻辑的关系就大大减小。class只提供原子操作，而不提供操作的顺序和是否操作的判断。这样，实例级权限控制就应该与业务逻辑类完全解藕了。

现在还很难下决心使用规则引擎，因为这又是个新东西，学习又要花时间啊。另外，规则引擎可以控制页面和action吗？这个问题，因为页面和action涉及很多实例级的控制，如果页面的控制不能用规则引擎完成，则要做到整个系统在实例级上的权限解藕也是做不到的。