你这里提的关于'when'的问题,是不是应该和工作流结合起来
When:（State,Phase）对于复杂系统，每个对象都有一个生命周期，授权时可能要求区别对待。比如：一则新闻的生命周期可能有三个阶段：起草、审批、发布。在不同的阶段可以为不同的Who有不同的授权。
我希望大家帮助我呀！
谢谢你的回复，很有价值啊。偶的砖头抛出去，收获到玉了。 :)
你的文章很精练，我还要细读细思考一阵子，先回复，以示感谢。
有几点想说，也不知道对错。
感觉大家说的都是授权，而没设计到认证，这也好，不过xn_jin提到的RBAC是个成型的东西么？
另外大家都谈自己的想法，除了一个pow2acl之外什么也没给，有没有具体些的东西。
JAAS谁熟悉，用他做可以么？？
本人也想做个比较通用的 验证及权限自动管理系统 ，感觉验证可以用公用的模块做，而权限则可以通过administrator这个role进行不同环境下的选择，不过这样会出现一个权利集中管理的情况，但我想这样能更加简单些吧
如果说的不对，大家就不要利用宝贵的时间做答了，等我再研究研究的，要是你象批评，我还是很愿意听的，最好再有些好的建议。
先占位！
i can't find it ! where?
如上实现的是一个简单的用户权限管理系统，应该可以应付管理需要。但是缺陷也有不少。
我现在在看基于角色的权限管理（RBAC）的文献，希望下一帖理一个思路给大家帮我看一下
安全管理有user、role、group、permission(HOW WHAT)几个概念(暂时不提及whick)，user和role是多对多的关系。group和user是多对多的关系。group单纯是对用户从组织机构的角度进行分组，而role指一组用户和一组权限。group概念的引入主要是为了辅助解决whick的问题。permission是指对what(类，不是which实例)进行how操作的一个具体定义。
几点疑问：
1.group的引入就是为了解决whick的问题，但是group本身是有层次的，比如一个单位组织机构如下：
单位
a部
a1组
用户1
用户2
a2组
用户3
b部
b1组
b2组
对某些类型的数据要求是本大部门的人都可修改(比如数据owner是用户1，那么a部人都可以修改)，而对某些数据是本小部门的人都可以修改(比如数据owner是用户1，那么a1组人都可以修改)，这些问题我想在程序中都很难写成通用的东西，我想程序里部应该把groupid写死，但有的时候还必须写死。而且严重的问题是组织机构发生变化，程序的维护性就是个问题，就是说程序不能依赖动态的数据。
2.
还有rbac中提出的role可以继承的概念在实际系统中很实用，但是用关系数据库却很难表达，因为一个role可能有两个父role。
普通职员
开发部 工程部
老总
很简单的例子，老总具有开发部和工程部的全部权限，这样的例子在数据库中就很难表达，只能把开发部和工程部的权限给老总挨个重新设一次。
在权限系统中，user不用详细描述了，基本是通用的，
role可以理解为是岗位，举个软件公司的例子,开发部经理和软件部经理的role是一样的,role直观上理解是职权的意思,可以把role做成一颗树,表达一种职权领导关系,即父role直接领导子role,所以上面的例子，总经理这个role应该是root，role与user是多对多的关系。(一个人可以身兼数职)。
group可以理解为是组织机构,还是上面的例子,软件公司下面有开发部和工程部，可以把group做成一颗树,表达一种组织机构隶属关系,group与user也是多对多的关系（符合国情:-)....)
role与group的引入只是说明user与user之间的两种系统中最常见的关系。
一个复杂的权限控制可能是很一个复杂的策略,不能通过单单对角色或者group的授权来完成,应该是一个if..else..的过程,输入参数有which(实例)的id和ower_user_id(which的creator)，当前的用户id,返回结果是boolean，决定who(当前的用户)对当前的which是否有how的权限。在策略执行的过程当中,会根据输入参数以及上面提到的人和人之间的最基本的关系：role和group来进行一系列的判断,当然在策略执行过程当中还会设计到业务逻辑方面的信息,比如针对某一个what的数据(what是一类数据，如订单的所有数据),可能会根据某一些条件，在策略执行过程中分别选择不同的流程分支,如2000前的订单数据和之后的数据有着不同的权限控制策略,需要在策略执行过程当中进行分支处理,这样其实也就解决了when(工作流)的问题，因为when的区分最终都会体现在which的具体数据中的，比如领导签字前和领导签字后的数据。
实施:
用关系数据库表达如下：
groups：groupid pargroupid groupname
roles：roleid superroleid rolename
users: userid username
group_user : groupid userid
role_user : roleid userid
在what的角度定义策略执行脚本,拿order为例子：
if (order.ordertime > 2000.09.08) {
if (owner_user_id.groupid == 3) {
.....
return true;
}
else {
.....
return false;
}
}
else
{
.....
return false;
}
存在的问题：没有java好像没有发现有类似delphi中的dreamer script editor这样强大的控件:-)
以上只是个人想法，欢迎大家交流和批评指正。