Можно сохранить параметры конфигурации, например атрибут discoveryAllowed на стороне сервера, как в БД.
На котором вы можете решить, разрешить ли пользователю вызывать веб-методы. Добавьте код ниже в веб-методе:
Если discoveryAllowed равно false , тогда вызовите следующий код:
MessageContext mc = context.getMessageContext();
HttpServletResponse resp = (HttpServletResponse) mc.get(MessageContext.SERVLET_RESPONSE);
resp.setContentType("text/plain");
resp.sendError(HttpServletResponse.SC_NOT_FOUND, "Web service is disabled.");
Если discoveryAllowed равно true разрешить продолжить выполнение кода.