JakartaEE 8+中@DeclareRoles的用途及相关疑问解析

问题1：若多个类使用相同的程序式角色校验，是否需在每个类上重复声明@DeclareRoles？ #

不需要重复声明。你可以把@DeclareRoles放在**包级注解文件（package-info.java）**中，或者定义一个包含该注解的抽象基类让所有相关类继承，这样所有用到这些角色的类都能共享声明，无需逐个添加。

问题2：@DeclareRoles仅用于程序式权限校验，不影响@RolesAllowed这类声明式控制吗？即仅用@RolesAllowed时无需声明该注解？ #

不完全如此。如果你的容器已通过IdentityStore或其他方式感知到所有角色，仅使用@RolesAllowed时部分容器允许不声明@DeclareRoles，但为了兼容性（部分容器要求必须先声明角色才能在@RolesAllowed中引用），建议统一声明。此外，@DeclareRoles还可用于定义逻辑角色——即与IdentityStore中物理角色映射的别名，这种场景下即使是声明式控制也会依赖它。

问题3：为何要重复声明角色？我需自定义javax.security.enterprise.identitystore.IdentityStore映射用户角色，在每个EJB中重复声明显得冗余。 #

重复声明确实冗余，这也是推荐统一声明的原因。@DeclareRoles的核心作用是告知容器应用中用到的角色集合，无论这些角色来自IdentityStore还是其他数据源。通过包级注解或基类统一声明后，所有EJB、REST资源都能复用该声明，避免重复代码。若使用逻辑角色，统一声明也更便于管理逻辑角色与物理角色的映射关系。

问题4：使用IdentityStore时，@DeclareRoles是否已过时无需使用？ #

并未过时。IdentityStore的职责是从数据源（如数据库）加载用户的角色信息，而@DeclareRoles是告知容器应用中用到的角色范围，二者职责互补。比如：

• 你可以通过@DeclareRoles定义逻辑角色，再通过容器配置将其映射到IdentityStore中的物理角色；
• 程序式权限校验（如调用isCallerInRole()方法）时，必须先通过@DeclareRoles声明目标角色，容器才能识别并执行校验。
  因此即使使用IdentityStore，@DeclareRoles依然有用，只需通过统一声明避免冗余即可。

内容的提问来源于stack exchange，提问作者Filou