已实现登录访问secured文件夹，如何为不同角色添加子文件夹权限限制？

嗨，看起来你已经搞定了基础的登录拦截，现在要给不同角色的用户做细粒度的子文件夹权限控制对吧？我之前在JSF+Java EE的项目里处理过几乎一模一样的场景，给你几个实用的方案，你可以根据自己的需求选：

如果你的项目是基于Java EE容器（比如Tomcat、WildFly）的，直接用web.xml配置安全约束是最省心的，不用写太多代码就能实现路径级的角色控制：

首先在web.xml里定义对应你的三个角色：

<!-- 定义系统安全角色 -->
<security-role>
    <role-name>admin</role-name>
</security-role>
<security-role>
    <role-name>recruteur</role-name>
</security-role>
<security-role>
    <role-name>candidat</role-name>
</security-role>

然后给每个子路径绑定对应的访问角色：

<!-- Admin专属路径控制 -->
<security-constraint>
    <web-resource-collection>
        <web-resource-name>Admin Exclusive Area</web-resource-name>
        <url-pattern>/secured/admin/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>admin</role-name>
    </auth-constraint>
</security-constraint>

<!-- Recruteur专属路径控制 -->
<security-constraint>
    <web-resource-collection>
        <web-resource-name>Recruteur Exclusive Area</web-resource-name>
        <url-pattern>/secured/recruteur/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>recruteur</role-name>
    </auth-constraint>
</security-constraint>

<!-- Candidat专属路径控制 -->
<security-constraint>
    <web-resource-collection>
        <web-resource-name>Candidat Exclusive Area</web-resource-name>
        <url-pattern>/secured/candidat/*</url-pattern>
        <http-method>GET</http-method>
        <http-method>POST</http-method>
    </web-resource-collection>
    <auth-constraint>
        <role-name>candidat</role-name>
    </auth-constraint>
</security-constraint>

注意：这个方案需要你在登录时把用户的角色正确注入到容器的安全上下文里，比如登录成功后调用request.login(username, password)，或者自定义Principal对象并包含角色信息，确保容器能识别当前用户的角色。

如果容器的配置式约束满足不了你的需求（比如要做动态权限、或者角色判断有复杂业务逻辑），可以写一个自定义过滤器，在现有登录过滤器之后做角色校验：

@WebFilter(filterName = "RoleAuthorizationFilter", urlPatterns = "/secured/*")
public class RoleAuthorizationFilter implements Filter {

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletRequest req = (HttpServletRequest) request;
        HttpServletResponse res = (HttpServletResponse) response;

        // 从Session获取已登录用户（假设你登录后把User对象存在session里，key是"loggedInUser"）
        User loggedInUser = (User) req.getSession().getAttribute("loggedInUser");

        // 未登录的话直接重定向到登录页（如果你的登录过滤器已经做了这步，这里可以省略）
        if (loggedInUser == null) {
            res.sendRedirect(req.getContextPath() + "/login.xhtml");
            return;
        }

        String requestURI = req.getRequestURI();
        boolean hasPermission = false;

        // 根据用户的子类类型判断权限
        if (loggedInUser instanceof Admin) {
            // Admin可以访问所有secured路径，或者只限制admin子路径，按需调整
            hasPermission = requestURI.startsWith(req.getContextPath() + "/secured/admin/") || 
                            requestURI.equals(req.getContextPath() + "/secured/");
        } else if (loggedInUser instanceof Recruteur) {
            hasPermission = requestURI.startsWith(req.getContextPath() + "/secured/recruteur/");
        } else if (loggedInUser instanceof Candidat) {
            hasPermission = requestURI.startsWith(req.getContextPath() + "/secured/candidat/");
        }

        if (hasPermission) {
            // 有权限，继续执行请求
            chain.doFilter(request, response);
        } else {
            // 无权限，重定向到自定义的无权限页面
            res.sendRedirect(req.getContextPath() + "/secured/access-denied.xhtml");
        }
    }

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        // 初始化逻辑按需添加
    }

    @Override
    public void destroy() {
        // 销毁逻辑按需添加
    }
}

注意：要确保这个过滤器在你的登录过滤器之后执行，可以通过web.xml里的<filter-mapping>顺序来控制，把登录过滤器的映射放在前面。

除了路径层面的拦截，你还可以在JSF页面上控制组件的可见性，避免用户看到自己无权访问的链接：

<!-- 只给Admin显示Admin面板链接 -->
<h:link value="Admin控制面板" outcome="/secured/admin/dashboard.xhtml" 
        rendered="#{loggedInUser.class.simpleName == 'Admin'}"/>

<!-- 只给Recruteur显示招募面板链接 -->
<h:link value="招募管理面板" outcome="/secured/recruteur/panel.xhtml" 
        rendered="#{loggedInUser.class.simpleName == 'Recruteur'}"/>

<!-- 只给Candidat显示候选人面板链接 -->
<h:link value="候选人中心" outcome="/secured/candidat/center.xhtml" 
        rendered="#{loggedInUser.class.simpleName == 'Candidat'}"/>

这种方式是路径拦截的补充，能提升用户体验，避免用户点击无权限的链接。

• 不要依赖前端校验：所有权限判断必须在后端做，前端的隐藏只是体验优化，不能作为安全控制的手段
• 业务层也要做校验：对于敏感的业务接口，比如修改用户信息、发布职位等，除了路径拦截，还要在业务方法里再次校验用户角色，防止用户直接通过接口调用绕过路径拦截
• 角色判断要可靠：确保用户的角色信息是从后端Session或安全上下文获取的，不要相信前端传过来的角色标识

内容的提问来源于stack exchange，提问作者Sarah