МужикНе хочется изобретать велосипед, может уже есть готовые более полные и конфигурируемые решения, чем просто фильтры?

- ограничения накладывайте на методы SessionBean-а предназначенные для выборки/изменения/удаления сущности. Используйте аннотацию @RolesAllowed(list of roles)

МужикСитуация другая немного... вот есть метод selectAll(), а должен он вернуть только те записи, которые доступны для просмотра пользователю. И так с каждым объектом.

- пожалуйста:

JavaEE Tutorial
The javax.ejb.EJBContext interface provides two methods that allow the bean provider to access security information about the enterprise bean's caller.

java.security.Principal getCallerPrincipal();

The purpose of the getCallerPrincipal method is to allow the enterprise bean methods to obtain the current caller principal's name. The methods might, for example, use the name as a key to information in a database.


boolean isCallerInRole(String roleName);

The purpose of the isCallerInRole(String roleName) method is to test whether the current caller has been assigned to a given security role. Security roles are defined by the bean provider or the application assembler, and are assigned to principals or principals groups that exist in the operational environment by the deployer.



- делайте выборку с учетом роли пользователя отправившего запрос