关于J2EE的安全认证的问题

Question

你在web层也可以，在ejb也可以。
一般是对ejb的商务方法作控制。
对web资源的访问做控制。
ejb可以身份验证。
不过具体依赖于不同的服务器。DAO（DAO＋JDBC）的资料哪里有？
到处都有。
自己努力找找。

Answer 1

JAAS  JSSE  JCE
偶现在在用JSSE坐东西。。

Answer 2

现在的感觉，主要的认证看来还是要在Web层做的，目的就是使没有认证的用户看不到相应的界面。而EJB层的认证，我现在看到的好像就是通过在XML中进行配制限制未认证的用户调用相应的方法，而这个机制是和Web层的认证联系在一起的，要授权也必须在Web层把相应的角色授权给用户。就是说，这不是一种独立的认证方法。EJB层还有独立的认证方法？Leemaasn你说的依赖不同的服务器的方法指的是什么？我现在的设计是把EJB层和WEB层完全分开了。我在考虑EJB的设计，而完全没有想WEB层的设计。主要是希望把商务逻辑的实现和外部界面完全分开，在这个项目中的实际目的是希望提供容易定制改变的的Web页面外观。但现在看来，认证这块东西就把Web层和EJB层联系起来了，要做设计还是应该两层一起设计，希望定制外观可以用MVC那样的架构在Web层实现。不知道这样的想法对不对，各位高人开发J2EE项目的时候是不是都是Web层，EJB层一起开发的？而不是先设计完成EJB中间层，然后才设计Web层？JAAS我倒是知道做授权用的，时间不够暂时不想学了，以后再说。DAO我知道的不多，看来是J2EE设计模式的一种，涉及的内容本来就不多，我想找书好像没有专门说这个的书，文章倒找到一些。