JBoss4.2.3GA + EJB3.0 + JAAS

JAAS在网上的评价度不是很高，你们一致认为它比较晦涩难用。虽然如此，可是由于咱们开发的项目里用到了JAAS，因此还不得不研究一下。
     所谓JAAS(Java Authentication Authorization Service Java认证与受权服务)就是为了保证Java代码的安全执行而分离出来的一个独立安全模块。它的一个显著的优势就是它被设计成可插入式的，这样就保证了 应用程序的独立性。详细介绍请参看http://baike.baidu.com/view/72676.htm。
    我这里假设你已经初步了解JAAS机制，而后我主要介绍其在JBoss里如何配置，并如何应用在EJB的Stateless Bean上。具体实现请参考附件。
    一、编写一个主角类，即实现Principle接口的类。接着编写一个角色组类，即实现Group接口的类。写这两个类时和不用JBoss时的写法相同。
    二、写好登陆模块，即继承LoginModule接口的类。写这个类时也不用考虑JBoss的因素。
    三、把JAAS配置集成到JBoss里面去。打开<JBOSS安装目录>/server/<default(这里是JBoss启动模式对应的文件夹)>/conf/login-config.xml，参照以下格式添加内容：
   <!-- Deploy Ejb_JBoss_JaasSecurityDomain -->
   <application-policy name="Ejb_JBoss_JaasSecurityDomain">
<authentication>
  <login-module code="jaas.MyLoginModule" flag="required">   </login-module>
</authentication>
   </application-policy>
而后在项目里的src/META-INF下新建jboss.xml，参照以下格式填写内容：
  <jboss>
    <security-domain>Ejb_JBoss_JaasSecurityDomain</security-domain>
  </jboss>
这样咱们就完成了JAAS在JBoss中的配置。
    接下来，讨论咱们如何在EJB服务里使用该JAAS验证。
    一、首先，需写好一个EJB服务，即Stateless Bean。无需多言。
    二、咱们采用注解方式插入JAAS验证模块。这里涉及到的注解有@DeclareRoles、@RolesAllowed、@PermitAll、 @DenyAll、@RunAs，这几个注释里面，@RolesAllowed使用最频繁。就我测试发现，@DeclareRoles只起声明做用，就如 VB中声明基本变量同样，没有实际意义。而@PermitAll是容许全部经过验证的用户访问，而@DenyAll还未被支持，尚不能使用。具体使用请参 考J2EE5API。
    三、写客户端时须要注意：初始化InitialContext的Properties的设置以下:
Properties prop = new Properties();
prop.put(Context.INITIAL_CONTEXT_FACTORY, "org.jboss.security.jndi.JndiLoginInitialContextFactory");
prop.put(Context.URL_PKG_PREFIXES,
"org.jboss.naming:org.jnp.interfaces");
prop.put(Context.PROVIDER_URL, "(1)");
prop.put(Context.SECURITY_PRINCIPAL, "(2)");
prop.put(Context.SECURITY_CREDENTIALS, "(3)");
InitialContext ctx = new InitialContext(prop);
其中，(1)处应填写JBoss所在服务器的URL，如"localhost:1099"；
      (2)处对应上面所写登陆模块（实现LoginModule接口）中的NameCallback（需在代码里添加）的getName()方法；
      (3)处对应上面所写登陆模块中的PasswordCallback（需在代码里添加）的getPassword()方法。
    四、使用InitialContext获得所写服务，并调用其中的方法。
   
    休息一下，理理思路，你会发现，在JBoss里使用JAAS并非一件困难的事。