EJB中的RoleAllowed和RunAs如何工作？

Question

在安全Java EE应用程序中，有：

• 3 EJB：B1，B2和B3
• 3种方法：B1中的m1，B2中的m2和B3中的m3

执行路径：m1->（m2-> m3）。 这意味着：m1调用m2，m2调用m3。

安全配置：

• 2个角色：学生和教授
• m1允许学生角色
• m2允许教授角色
• m3允许学生角色
• B1担任副教授角色

我有2种情况：
（1）如果为用户（鲍勃）分配了学生角色。 Bob调用的执行m1->（m2-> m3）是fail 。 当我在每种方法中打印调用者的角色时：

• m1：学生
• m2：教授

（2）如果为用户（Bob）分配了学生角色和教授角色。 Bob调用的执行m1->（m2-> m3） 成功 。 当我在每种方法中打印调用者的角色时：

• m1：学生，教授
• m2：学生，教授
• m3：学生，教授

问题：在（1）中，RunAs为什么会影响Bob（呼叫者）的角色？ 但是，在（2）中不是。 系统在@RunAs之前检查@RoleAllowed，不是吗？

Answer 1

已验证的用户将忽略@RunAs。

它旨在定义应用于通常没有经过身份验证的用户主体的方法调用的角色，例如EJB超时方法和消息驱动bean的onMessage方法。