看这个链接点击我
还有点击我
好像说spring security不适合国内的 用户权限角色资源 等7张表的设计
也说spring security不好动态的添加角色。
那么花这么大的力气去学这个是不是完全不值得？
只为了不让别人直接访问没权限的网址？写个过滤器也行，但过滤器也比较麻烦，因为是动态的。
我觉得最好的又省力的办法是把页面资源都放到 web-inf下面，不就得了？
有什么权限给什么链接 ，不给你知道网址也访问不了，因为要先进action,才能访问web-inf下的
我突然又想到 那要是别人知道了***.action的地址不是又完了？难道每个action都判断？
拦截器 过滤器？在里面判断角色？读用户权限角色资源 等7张表循环？然后看那些资源可以访问？
树菜单又怎么做，怎么拼树里的链接？
晕就一个字。
------解决方案--------------------
我印象权限一般五张表吧？用户 角色 模块 用户角色关联 角色模块关联，只为了不让别人直接访问没权限的网址，这个要用struts2的拦截器吧，在拦截器判断有没有权限，如果没有就传到错误页面。
------解决方案--------------------
俺现在在用 shiro
------解决方案--------------------
你要是不想造轮子就用一些现成的框架，比如你提到的spring security， 3楼说的shiro等等。自己写过滤器也未尝不可。
------解决方案--------------------
一个基于 RBAC0 的通用权限设计清单