声明包含多个角色的用户的安全约束

Question

我有两个角色。

一个是可以查看所有页面的admin角色。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Admin Pages</web-resource-name>
        <url-pattern>/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name>
    </auth-constraint>
</security-constraint>

另一个是可以看到IT页面的it角色。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>IT Pages</web-resource-name>
        <url-pattern>/it/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>it</role-name>
    </auth-constraint>
</security-constraint>

这里我有一个admin和it必须访问的页面，但只有在用户同时具有角色admin和it，而不仅仅是其中一个角色的情况下才能访问。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Admin and it Pages</web-resource-name>
        <url-pattern>/other/*</url-pattern>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name>
        <role-name>it</role-name>
    </auth-constraint>
</security-constraint>

但是以前的<security-constraint>的实际行为是admin 或 it角色可以访问此页面。

如何实现将用户声明为admin、和 it这两个角色才能访问此页面而不仅仅是其中之一？

Answer 1

这是不可能的角色不是那样工作的。你似乎有倒转角色的意义。也许更容易将角色视为权限。

创造一个新角色。