安全註釋

MergeAction 實作會尋找以 DeclareRoles 註釋標註的所有類別。 在指定的每一個角色名稱的每一個註釋類別內，如果部署描述子中列出的安全角色不包含具有註釋角色名稱的 SecurityRole ，則會建立新的 SecurityRole 並新增至此安全角色清單。

MergeAction 實作會尋找具有 RunAs 註釋的所有類別。 對於每一個標註的類別，它會尋找與給定類別相關聯的 Servlet 或 Enterprise Java Bean (EJB)。 然後，它會決定是否在 Servlet 或 EJB 的部署描述子中定義 run-as 元素。 如果找不到，則會建立新的 run-as 元素，並新增至部署描述子。 如果找到 run-as 元素，則會使用這個 run-as 元素，而不是建立新的 run-as 元素。 執行身分註釋中所用的角色名稱必須定義在部署描述子中。

MergeAction 實作會尋找所有標註了 DenyAll 註釋的方法。 對於每一個註解方法，如果方法未包含在已排除方法的部署描述子清單中，且部署描述子中沒有 MethodPermission ，則會建立新的 MethodElement ，並新增至部署描述子中這個已排除方法的清單。

MergeAction 實作會尋找具有 PermitAll 註釋的所有類別和方法。 對於每一個標註的類別，它會尋找與給定類別相關聯的 Enterprise Java Bean (EJB)。 然後，它會在部署描述子中定義給這個 EJB 的所有 MethodPermissions 清單中，搜尋 MethodElements 的子集。 如果 MethodElement 具有萬用字元方法名稱 ("*") 找不到萬用字元方法，且萬用字元方法不存在於已排除的方法清單中，或在具有安全角色的 MethodElements 清單中，會建立新的 MethodPermission 和新的 MethodElement。 新的 MethodPermission 會標示為未勾選，且會新增至部署描述子中的 MethodPermission 清單。 新的 MethodElement 會新增至新建立的未檢查 MethodPermission 的 MethodElement 清單中。 會對所有標註的方法執行類似動作。 方法簽章必須完全符合註解方法的簽章，而不是萬用字元 MethodElement。

MergeAction 實作會尋找具有 RolesAllowed 註釋的所有類別和方法。 對於每一個標註的類別，它會尋找與給定類別相關聯的 EJB。 然後，它會在這個 EJB 的部署描述子中所定義的所有 MethodPermissions 清單中，尋找 MethodElements 的子集。 如果 MethodElement 具有萬用字元方法名稱 ("*") 找不到萬用字元方法，且萬用字元方法不存在於已排除的方法清單或未檢查的 MethodElements 清單中，會建立新的 MethodPermission 和 MethodElement。 如果這個 EJB 的 MethodPermission 存在，且其角色與註釋中找到的角色完全相同，則會使用這個 MethodPermission ，而不是建立新的 MethodPermission。 對於註釋中指定的每一個角色名稱，會建立一個新的 SecurityRole ，並新增至 MethodPermission 中的 SecurityRole 清單; 如果 MethodPermission 是新建立的，則會將它新增至部署描述子中的 MethodPermission 清單。 所建立的新 MethodElement 會新增至 MethodPermission 的 MethodElement 清單中。 所有註解方法都已完成類似的處理。 方法簽章必須完全符合註解方法的簽章，而不是萬用字元 MethodElement。 此外，對於註釋中指定的每一個角色名稱，如果安全角色的部署描述子清單不包含具有註釋角色名稱的 SecurityRole ，則也會建立新的 SecurityRole 並新增至此安全角色清單。

繼承的 Servlet 註釋是 meta 資料註釋。 請勿在類別中指定繼承的註釋。 如果子類別沒有安全註釋，則會自動從母類別繼承安全註釋。 子類別可以透過指定其安全註釋來改寫母項安全註釋。

@WebServlet ("/Example") 
@ServletSecurity
public class Example extends HttpServlet {
       ……
}

@WebServlet ("/Example")
@ServletSecurity(@HttpConstraint(transportGuarantee =
                      TransportGuarantee.CONFIDENTIAL))
public class Example extends HttpServlet { 
       ……
}

@WebServlet ("/Example")
@ServletSecurity(@HttpConstraint(EmptyRoleSemantic.DENY))
public class Example extends HttpServlet {
       ……
}

@WebServlet (name="Example", urlPatterns={"/Example"}) 
@ServletSecurity((httpMethodConstraints = {
	@HttpMethodConstraint(value = "GET", rolesAllowed = “ALL ROLE"),
	@HttpMethodConstraint(value="POST“, emptyRoleSemantic =
EmptyRoleSemantic.DENY))
})
public class Example extends HttpServlet {
       ……
}

@WebServlet (name="Example", urlPatterns={"/Example"}) 
@ServletSecurity(value = @HttpConstraint(rolesAllowed = "ALL ROLE"),
	httpMethodConstraints = @HttpMethodConstraint("GET"))
public class Example extends HttpServlet {
       ……
}

@WebServlet (name="Example", urlPatterns={"/Example"})
@ServletSecurity(value = @HttpConstraint(rolesAllowed = "ALL ROLE"),
	httpMethodConstraints = @HttpMethodConstraint(value="TRACE",
	emptyRoleSemantic = EmptyRoleSemantic.DENY))
public class Example extends HttpServlet {
       ……
}