因为在前面两个帖子里有提到主管要能够直接的看拥有看到下属一些文件--如工作小结等，如果直接把GROUP或者ROLE对应到权限上都会对这样的实现感到困难。

我现在有这样一个想法，就是参照公司结构的模型来定义权限的分配方法。

就是把GROUP对应到公司里的部门，ROLE对应到部门里的职位，而权限将对应于一对GROUP和ROLE的组合。

sourceforge上的pow2acl项目就是用java实现的基于角色－权限－组的实现，很不错的项目，而且和struts整合的很好，直接可以在页面里调用taglib来实现授权和认证等，有兴趣的可以去看看：）

我觉得Group和Role本质上是一回事情.区别在于:
Role属于分析层,而Group属于应用层.Role是动态变化的,而Group是静态可增的.:)