在JAX-WS中使用安全性的最佳做法是什么

以下是场景: 我有一些需要保护的Web服务(JAX-WS)。 目前,对于身份验证需求,我提供了附加的SecurityService,它为授权用户提供了一些需要在对其他服务的请求中描述的用户ID和会话ID。

最好使用一些Java安全性。我们有很多,但无法定义更好的用法。

问题1:可以理解,我应该在传输层中使用SSL,但是应该使用什么来进行用户授权。有没有更好的方法来建立会话、验证用户等?

以下是一些关键描述:

1. 大多数Web服务都是基于PHP的。
2. 我将JAXWS实现用作无状态会话EJB。
3. 部署到Glassfish v3。

问题2:在使用JSF 2.0和EJB3.1技术(realms)的情况下,用户授权/身份验证的最佳框架/技术是什么?什么?)?

谢谢您!