EJB3 @RunAs批注和安全性

Question

@RunAs批注仅允许通过指定角色的名称来访问Bean。 这意味着任何外国客户只要指向角色名称就能够轻松访问我的bean，不是吗？

我想调用者和bean位于不同的服务器上。

那么，如果很容易伪造客户端，@ RunAs需要做什么呢？ 或者，如果我错了，怎么正确使用呢？

Answer 1

有点不同。 有关更多详细信息和示例，请参阅《 WebSphere Application Server V7.0安全性指南》中的 9.6章。

当一个bean在另一个bean中调用一个方法时，默认情况下，调用者的身份会传播到下一个。 这样，如果要调用getCallerPrincipal（）方法，则调用链中的所有EJB方法都将具有相同的主体。

但是，有时候，一个EJB希望以先前定义的身份（例如，一个特定角色的成员）调用另一个EJB。

@RunAs批注定义将用于委派的角色。 您仍然可以使用@RolesAllowed保护第一个bean

在应用程序部署期间，必须从用户注册表将此runAsRole映射到实际用户。