Wie sollte ich sichere meine webapp geschrieben, mit Wicket, Spring und JPA?

So, ich habe eine web-basierte Anwendung, die die Wicket 1.4-framework und verwendet es Spring-beans, die Java Persistence API (JPA), und die OpenSessionInView Muster. Ich bin der Hoffnung zu finden, ein Sicherheitsmodell, das deklarative, aber nicht erforderlich ist, gobs von XML-Konfiguration -- ich bevorzuge Anmerkungen.

Hier sind die Möglichkeiten so weit:

1. Spring Security (guide) - sieht abzuschließen, aber jeder Anleitung, die ich finden Sie, dass kombiniert Sie mit Wicket noch immer fordert es Acegi Security, das macht mich denke, es muss alt sein.

2. Wicket-Auth-Roles (Anleitung 1 und guide 2) - die Meisten guides empfehlen mischen dies mit Spring Security, und ich Liebe den deklarativen Stil von @Autorisieren("ROLE1","ROLE2",etc). Ich bin besorgt darüber, dass Sie verlängern AuthenticatedWebApplication, da bin ich schon die Erweiterung org.apache.wicket.Protokoll.http.WebApplication, und der Frühling ist bereits proxying, dass hinter dem org.apache.wicket.Frühling.SpringWebApplicationFactory.

3. SCHWARM /WESPE (guide) - Das sieht die neueste (obwohl die Hauptverursacher der vergangen Jahre her), aber ich hasse alle die JAAS-styled-text-Dateien, die erklären Berechtigungen für den AUFTRAGGEBER. Ich weiß auch nicht wie die Idee, ein Action-Klasse wird für jede einzelne Sache, die ein Benutzer machen möchte. Secure-Modelle sind auch nicht sofort ersichtlich für mich. Plus, es ist nicht eine Authn Beispiel.

Zusätzlich, es sieht aus wie viele Leute empfehlen, das mischen der ersten und zweiten Optionen. Ich kann nicht sagen, was die beste Praxis ist, obwohl.