JAAS:JAVA的認證和權限系統，是JDK級的，并且屬于J2EE的規范之一，容器必須要實現的。
作用就要規范外部（對于J2EE程序，外部指瀏覽器客戶端，對于J2SE程序，外部指調用程序）如果要作用JDK里面的東西時的情況。
認證：
- 把驗證代碼寫在LOGINMODULE的實現類的login()方法中
- 通過配置文件和加JAVA_OTPS的方式告訴JDK類全名
- 告訴JDK需要使用認證的地方
如果是J2SE的程序，在需要認證的地方加上LOGINCONTEXT的login()，JDK會回調上面的login()方法，不通過則拋出excetion，通過則將客戶端相關信息保存到SUBJECT中；
如果是J2EE程序，則在WEB.XML中配置相應元素，容器會回調上面的login()方法，如果不通過則導到登錄頁面，通過則將客戶端相關信息保存到SUBJECT中
驗證權限：
- 寫好權限策略內容：以PRINCALS為單位，列出這個PRINCALS能做的事：PERMISSION子類列表，PERMISSION子類實現了要保護的對象，關鍵識別參數，操作保護方法，保存為策略文件
- 把涉及到保護對象操作的代碼放到PrivilegedAction實現類的run()方法內
- 通過配置文件和加JAVA_OTPS的方式告訴JDK資源文件全名，策略文件全名和需要啟用SECURITY MANAGER
- 在需要驗證權限的地方，調用Subject.doAsPrivileged(Subject, PrivilegedAction, null)，JDK或容器根據策略文件該SUBJECT是有操作要保護對象的權限，沒有則則拋出excetion，有則執行
相關實例可參照
http://download.oracle.com/javase/1.4.2/docs/guide/security/jaas/tutorials/GeneralAcnAndAzn.html