真正有效的越权防御是在行为发生的瞬间捕获上下文并触发锁定，通过拦截器三重比对用户身份、资源操作与权限决策，抛出自定义含攻击指纹的privilegeviolationexception，由审计组件实时分析特征、自动封禁并告警。
发生越权时，光靠日志回溯往往滞后且难以定位攻击特征。真正有效的防御，是让系统在越权行为发生的**瞬间**就捕获关键上下文，并触发锁定机制。自定义异常 + 拦截器 + 审计组件的组合，正是实现这一目标的轻量级高响应方案。
拦截器中精准识别越权请求
越权不是“没登录”，而是“越了不该越的界”。拦截器应在 preHandle 阶段完成三重比对：
- 从 token 或 session 中解析出当前用户 ID 和角色（如
user:1024, role:OPERATOR） - 提取请求路径与 HTTP 方法，映射为逻辑资源操作（如
PUT /api/orders/8891 → update_order） - 查权限决策服务（内存缓存或 DB），确认该用户是否拥有该资源的操作权限；若否，不放行并抛出
PrivilegeViolationException
注意：这里要避免仅校验 URL 前缀（如 /admin/**），而应解析路径参数、查询参数甚至 body 内容（例如通过 AOP 切入），否则无法发现“普通用户修改他人订单 ID”的横向越权。
自定义异常承载可审计元数据
越权异常不能只是 throw new RuntimeException("Forbidden")。它需要携带攻击指纹：
- 异常类继承
RuntimeException，但显式包含字段：userId、requestUri、httpMethod、targetResourceId（如订单号）、clientIp、userAgent、timestamp - 构造时自动填充这些值，确保所有越权点（拦截器、AOP 切面、Service 层校验）抛出同一类型异常
- 全局异常处理器（
@RestControllerAdvice）捕获后，除返回标准错误码（如 403）外，同步将异常对象推送给审计组件
审计组件实时响应并锁定特征
审计组件不是只写日志，而是具备规则引擎和状态记忆能力：
- 接收越权异常事件后，提取
clientIp + userId + targetResourceId组成特征指纹 - 内置规则：5 分钟内同 IP 触发 3 次越权，自动标记该 IP 为可疑；同用户连续越权访问不同资源 ID，标记为“扫描行为”
- 调用风控服务接口，将特征写入 Redis 的临时黑名单（TTL 30 分钟），后续拦截器可快速查表阻断
- 异步推送告警（企业微信/邮件），附带完整请求快照（含原始 request header/body 截断）
关键细节决定是否真能锁定
很多方案失败，是因为漏掉了这几个环节：
- 资源 ID 必须解析准确：不能只取 URL 路径，要结合 @PathVariable、@RequestParam 甚至 JSON Body 解析（可用 Jackson Tree Model 提前读取）
- 异常必须统一出口：避免 Controller 层自己 try-catch 吞掉越权异常，导致审计组件收不到信号
- 时间戳必须用系统纳秒级：用于精确计算高频越权窗口，防止时钟漂移干扰判断
- 锁定需分层：IP 封禁适用于暴力探测；用户冻结需走审批流程；资源 ID 级别熔断（如暂停对该订单的所有操作）适合已确认的恶意修改
这套机制不依赖外部鉴权中心，落地快、可观测强，在中小型后台和 API 网关场景中已验证有效。
