【SpringBoot 】AOP企业级权限控制方案（三）

四、核心场景：六大企业级需求全覆盖

需求	实现方式	配置示例
角色校验	通过roles属性配置允许的角色列表，切面比对当前用户角色	roles = {"admin", "manager"}
权限码校验	通过permissions属性配置所需的权限码列表	permissions = {"user:add", "user:delete"}
校验逻辑灵活	logical属性支持AND（全部满足）和OR（满足任一）	logical = Logical.OR
超级管理员豁免	ignoreSuperAdmin = true时，super_admin角色跳过所有校验	ignoreSuperAdmin = true
统一异常响应	自定义PermissionException+ 全局异常处理器	统一返回 403 + 错误信息
不侵入业务代码	全程通过 AOP 切面增强，业务方法无需任何改动	仅需在方法上标注注解

---

五、测试验证：五大场景全覆盖

5.1 测试用户与接口矩阵

测试用户：

用户	角色	权限码	说明
张三（普通用户）	user	user:list,user:query	无管理权限
李四（管理员）	admin	user:add,user:edit	有管理权限但缺少部分权限
root（超级管理员）	super_admin	[]	超管，全局豁免

测试接口与结果：

接口	注解配置	测试用户	预期结果	实际结果
GET /system/user/list	roles={"admin"},ignoreSuperAdmin=true	普通用户	拦截 403（角色不足）	✅ 符合预期
POST /system/user/delete	permissions={"user:delete"}	管理员	拦截 403（权限不足）	✅ 符合预期
GET /system/user/export	roles={"admin"},permissions={"user:export"},logical=OR	普通用户	拦截 403（角色和权限均不满足）	✅ 符合预期
GET /system/user/export	roles={"admin"},permissions={"user:export"},logical=OR	管理员	放行 200（角色满足 OR）	✅ 符合预期
GET /system/config	roles={"admin"},permissions={"system:config"},ignoreSuperAdmin=true	超级管理员	放行 200（超管豁免）	✅ 符合预期

5.2 验证结论

所有测试场景均已通过验证：

• ✅权限校验准确：无权限请求被正确拦截，有权限请求正常放行
• ✅统一异常响应：拦截时返回统一的 403 JSON 格式
• ✅超级管理员豁免：ignoreSuperAdmin=true时超管直接放行
• ✅业务代码零侵入：业务方法中无任何权限校验代码

---

六、总结：方案优势与扩展性

6.1 方案优势

优势	说明
声明式权限	通过@RequiresPermission注解即可完成配置，无需编写校验代码
零业务侵入	基于 AOP 实现，业务方法保持纯净，只关注核心逻辑
灵活可扩展	支持多角色、多权限码、AND/OR 逻辑、超管豁免等丰富场景
安全可靠	全局异常处理不暴露内部细节，ThreadLocal 保证线程安全
易于测试	权限逻辑集中管理，单元测试覆盖更简单

6.2 扩展方向

1. 数据级权限：在权限码校验的基础上，增加对数据范围的校验（如只能查看本部门数据）
2. 动态权限：将权限规则配置化，存储在数据库中，支持运行时动态调整
3. 多级缓存：将用户权限信息缓存在 Redis 中，减少每次请求解析 JWT 的开销
4. 权限变更实时生效：配合消息队列，权限变更时主动清除缓存
5. 多租户扩展：在角色和权限码之上叠加租户隔离维度

---

核心技术栈：

• 🚀 Spring Boot
• 🎯 Spring AOP
• 🔑 JWT (jjwt)
• 📦 fastjson2

---

📌总结：通过「注解标记 + AOP 拦截 + 上下文校验」的组合，构建了一套完整、可扩展、零侵入的企业级权限控制方案。一行@RequiresPermission注解即可完成接口的角色与权限控制，真正做到干净、优雅、可维护。