看来你没有看什么JASS的资料就开始用
如果太依赖于容器提供的JASS实现。可能需求上很难够用，不同的容器，不同的实现，实在是累人
有一个思路，自己去实现，我觉得可以实现自己的LoginModule，Principal
并实现 基于RDBMS的Policy
guest 登陆时 生成一个guest 的 Principal 而这个guest Principal没有Permission
如果真实用户登陆 生成用户的Principal
在web程序中，我们可以有一个主控来做权限校验，
如 ，Subject.doAs(loginContext.getSubject(), new PrivilegedAction(){
public Object run(){
这里根据不同的请求生成相应的Permission e.g FilePermission f = new FilePermission("*","write");
AccessController.checkPermission(f);
做相应的后面的处理
return null;
}
});