请问这样的细粒度权限能否用acegi实现？

我弄错了。其实还是用threadlocal。

对了，这个资源和role的mapping难道只能写在配置文件/annotation里面吗？这些都是静态的，有没有动态支持？比如把这个mapping存在数据库里面？

这个acegi自己还是没有提供，官方说法是认为这个安全配置应不会时时变化，但是这显然不合理。动态资源配置有大大已经说过了，请详见
http://forum.iteye.com/viewtopic.php?t=17538

摘自：
实战Acegi：使用Acegi作为基于Spring框架的WEB应用的安全框架
原文地址：
http://www.blogjava.net/youlq/archive/2005/12/06/22678.html
－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－
缺省情况下MethodSecurityInterceptor的objectDefinitionSource属性是通过 net.sf.acegisecurity.intercept.method.MethodDefinitionSourceEditor来设置的。 MethodDefinitionSourceEditor只支持属性配置文件的格式（同filterInvocationInterceptor的 objectDefinitionSource属性），而实际情况中，由于业务方法比较多，显然配置信息存放在数据库中比较好。因此，我们通过注册一个 CustomEditorConfigurer来修改MethodDefinitionSource类型属性的对应读取类。配置如下：　
<bean id="customEditorConfigurer" class="org.springframework.beans.factory.config.CustomEditorConfigurer">
<property name="customEditors">
<map>
<entry key="net.sf.acegisecurity.intercept.method.MethodDefinitionSource">
<bean class="sample.util.DataSourceMethodDefinitionSourceEditor">
<property name="jdbcTemplate"> <ref bean="jdbcTemplate"/> </property>
</bean>
</entry>
</map>
</property>
</bean>

DataSourceMethodDefinitionSourceEditor根据以下SQL读取业务方法安全配置信息：　

select authority,PROTECTED_RES from authorities where AUTH_TYPE='FUNCTION' and authority like 'AUTH_FUNC_ContactManager%'


－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－－

楼上的方法，当运行期数据库里面的配置改变的时候acegi里面的配置信息是不会改变的。这就涉及到更复杂的问题，请看FeiiXXXX的那个帖子，说得比较全面。

在Feiing的文章中写到：
－－－－－－－－－－
实现采用 EhCache 缓存资源权限配置, 这样如果资源权限数据发生变化, 可以 flush Cache 从数据库重新读取
－－－－－－－－－－－－－
acegi 也是通过EhCache 缓存用户权限信息，所以当运行期数据库里面的配置改变的时候可以update cache使acegi的配置信息和DB一致。参见：
net.sf.acegisecurity.providers.dao.cache.EhCacheBasedUserCache

BTW：个人认为Feiing的解决方法有点太麻烦了。

UserCache 只是 User 与  Role 的缓存， 如果用户需要实时更改 Role 与 Resource 的关系， 它就不够用了

我是用了一个ServletFilter在web容器启动时加载一个singleton的context,也就是一行代码:

SessionContext.setCurrentContext((HttpServletRequest); request,
				(HttpServletResponse);response);; 

SessionContext使用ThreadLocal:

.......
private static ThreadLocal tl = new ThreadLocal();;

......

static public void setCurrentContext(HttpServletRequest request,
			HttpServletResponse response); {
		SessionContext sessionManager = getCurrentContext();;
		if (sessionManager == null); {
			log.info("Create a new SessionContext");;
			sessionManager = new SessionContext(request, response);;
			
			tl.set(sessionManager);;
		} else {
			log.info("Reuse SessionContext");;
			sessionManager.setRequest(request);;
			sessionManager.setResponse(response);;
		}
	}
......

这样在services层中就可以通过SessionContext直接从httpsession中获得数据
我是打算试一下ajax才弄了这么个东西,不熟悉ajax这样的远程调用方式,还没找到session的最佳处理方式,不知各位是如何处理的?

至于在spring中,只要将controller从MultiActionController继承过来,那么只要:
ApplicationContext ctx = getApplicationContext();
就可以取得压入servletcontext的ApplicationContext
在我的controller中,代码大概是这样:

ApplicationContext ctx = getApplicationContext();;

		UserManager userManager = (UserManager); ctx.getBean("userManager");;

		User user = userManager.login(userName, userPassword);;

		if (user == null);
			return new ModelAndView("login_failed");;
		else {
			req.getSession();.setAttribute("User", user);;
			return new ModelAndView("login_success");;
		}

controller只做了3件事:
1.从httprequest中取得参数,然后分派给services层的对象
2.根据services层的对象处理结果分派给不同的视图
3.状态保持
权限控制部分依然是和servlet api解耦的,也是容易测试的.

spring的mvc设计是分离的最干净的最灵活的,只处理web相关的东西

已经发布，不过文档还不齐，还算不上权限框架，算是权限模块吧，依赖接口。有待扩展
http://forum.iteye.com/viewtopic.php?t=16210