なぜweb.xmlに書くのか
上記の使い方の希望で挙げている1、2についてはコンテナ側が提供する機能になります。
コンテナはweb.xmlに設定が書かれていないと何をすべきか理解できないため、
web.xmlに書く必要があります。
では、web.xmlに何を書くのかというと、
特定のURLに対するアクセスに対して、どのロールを許可するのかということを書きます。
例えば下記のような設定です。
<security-constraint>
<web-resource-collection>
<web-resource-name>Web Resource</web-resource-name>
<url-pattern>/*</url-pattern>
<http-method>GET</http-method>
</web-resource-collection>
<auth-constraint>
<role-name>Administrator</role-name>
<role-name>User</role-name>
</auth-constraint>
</security-constraint>
この例では、すべてのGETリクエストのURLはAdministrator, Userロールにのみ許可するということになります。このように、ロールの適用はパラメータ等で切り替わるのではく、
URL及びHTTPメソッドによって振り分けられます。
また、この設定だけではDBからロールを取得するという処理は勝手には行ってはくれないので、
コンテナ側に設定が必要になります。
ここで説明すると長くなってしまいますので、「GlassFish JdbcRealm」や「WildFly JdbcRealm」で検索してみてください。それぞれのコンテナに合わせた設定方法を説明したサイトが見つかると思います。
@RolesAllowedで認識できるように設定
@RolesAllowed
の認識のさせ方ですが、これはJAX-RSの実装によって異なります。
JAX-RSの実装の一つであるJerseyの場合は、下記の設定がweb.xml必要になります。
<servlet>
<servlet-name>ServletContainer</servlet-name>
<servlet-class>com.sun.jersey.spi.container.servlet.ServletContainer</servlet-class>
<!-- @RolesAllowed を使用するのなら必須 -->
<init-param>
<param-name>com.sun.jersey.spi.container.ResourceFilters</param-name>
<param-value>com.sun.jersey.api.container.filter.RolesAllowedResourceFilterFactory</param-value>
</init-param>
</servlet>
また、もう一つの実装であるRESTEasyでは下記の設定がweb.xmlに必要です。
<context-param>
<param-name>resteasy.role.based.security</param-name>
<param-value>true</param-value>
</context-param>
このようにJavaEEのセキュリティ周りは、自ら実装することなく設定だけで実現させる仕組みになっています。