32、EJB 安全管理全解析

EJB 安全管理全解析

1. EJB 安全简介

安全管理是 EJB 提供的重要服务之一。EJB 的底层安全基础设施由容器提供者实现，而安全策略则在部署时设定，以确保 Bean 在不同应用之间的可移植性。EJB 安全的核心问题是确定哪个用户有权调用 Bean 的哪个方法。

在特定的操作环境中定义用户，例如名为 Gurmail Kandola 的用户，在 UNIX 机器上使用用户名 kandola，属于工程用户组，拥有对 MySQL 数据库服务器的访问权限等。在 EJB 代码中，用户由 java.security.Principal 类的实例表示。主体（Principal）会被映射到安全角色，这些角色决定了主体可以访问的方法。应用组装者定义逻辑安全角色，部署者将这些角色映射到主体。

2. 基本安全概念

• 认证和授权
  • 认证和授权代表了系统（如计算机系统或运行在计算机上的应用程序）的两个安全级别。认证是指展示身份以进入系统，例如使用登录名和密码。授权则决定了用户进入系统后可以执行的操作。例如，通过输入登录名和密码登录到文件服务器后，用户会发现有一组只能读取的文件、一组可以读取和修改的文件，以及一组甚至无法读取的文件，这就是授权部分。在 EJB 中，授权意味着客户端被允许调用 Bean 方法。
• 主体和角色
  • 主体是可以被系统认证的实体，例如最终用户或试图访问其他应用的应用程序。在 Java 中，实体被系统认证后由 java.