SAAS系统的安全控制简介

SAAS系统的安全控制简介:
[list]
[*]控制URL资源
[*] 数据提取,在Action提取数据时,以会话所在租户作为方法参数
[*] 数据修改控制,验证被操作的数据所属租户与会话租户是否一致;实现的方法，通过Hibernate的事件机制进行验证
[*] 基于ACL机制的数据共享控制;实现方法:存放对象Id，可访问人，访问方式;通过Aop将相关的验证拦截器绑定到服务类，自动的提取参数或返回值进行验证。
[/list]
这么做的理由,很简单，1,2,3逐步加深控制。控制url,只能控制访问的功能，不能控制数据;控制了数据的提取，控制不到数据的修改。
4则是为了丰富数据的控制,如业务员之间的销售数据互不可见，但又可通过共享使得互相可见，或是控制共享的方式,或是销售经理可管理所有的数据。