使用acegi和在action直接用代码来进行角色权限认证的比较

Question

此回复为自动发出,仅用于显示而已，并无任何其他特殊作用
楼主【uniteworld】截止到2008-08-04 08:32:17的历史汇总数据(不包括此帖)：
发帖的总数量:45                       发帖的总分数:680                      每贴平均分数:15                       
回帖的总数量:27                       得分贴总数量:3                        回帖的得分率:11%                      
结贴的总数量:45                       结贴的总分数:680                      
无满意结贴数:10                       无满意结贴分:200                      
未结的帖子数:0                        未结的总分数:0                        
结贴的百分比:100.00%               结分的百分比:100.00%                  
无满意结贴率:22.22 %               无满意结分率:29.41 %                  
敬礼!
取消马甲机器人，请点这里：http://www.java2000.net/mycsdn/robotStop.jsp?usern=uniteworld

Answer 1

acegi的特点是可以动态配置，用起来也不是很容易，但以后权限修改不太涉及代码，用自己写的当然很直接了acegi还是可以处理很多简单的权限控制，但对于acl，字段的控制，还是很不好。

Answer 2

最简单来说，acegi实现了表单认证，remember-me，concurrent-session。
光是表单认证里就有md5加密密码，盐值加密密码，记录上次登陆url自动跳转等好多功能。
remember-me又支持本地cookie记忆和服务器数据库记忆验证信息几种。你如果只是想写个filter，实现哪个url可以访问，哪个url不能访问，最好还是自己写吧。acegi太复杂了。
但是对于高安全性要求的系统，把acegi里这些都自己实现一遍，可太麻烦了。上面咱们还只是说说web request的安全管理。acegi还支持method invocation和secure object呢。
所以还是要考虑自己系统的复杂程度，如果没有对安全性有很高的要求，还是自己实现的好。容易控制。

Answer 3

谢谢，我想再问一下，我的系统除了基于角色的权限控制外，还有其他比较散的控制，如我由一个文件资源表，该表有个字段，是可以浏览他的用户id列表，只有用户id在那个id列表里才能查看，那么如果我用acegi安全构架，这个如何做到呢？