实战：怎么在多角色权限校验中利用 @Repeatable 连续配置多个岗位红线-java教程-PHP中文网

@repeatable注解解决多岗位红线校验问题：定义可重复的positionredline注解及容器，支持方法上连续标注多个岗位约束；拦截器动态解析并校验用户实时岗位与操作行为，规则即配置，无需硬编码映射。

实战：怎么在多角色权限校验中利用 @repeatable 连续配置多个岗位红线

在多角色权限校验场景中，一个用户常同时具备多个岗位（如“研发主管”“安全专员”“数据Owner”），而每个岗位对应独立的业务红线（如“禁止导出原始日志”“禁止修改生产配置”）。若用传统注解方式，每次只能声明一个岗位约束，写法冗余且难以维护。@Repeatable 注解正是为解决这类“同一位置需多次声明同类规则”的问题而生——它让开发者能自然地连续标注多个岗位红线，再由统一拦截器解析执行。

一、定义可重复的岗位红线注解

核心是两步：先写一个普通注解，再用 @Repeatable 标记它可重复，并指定容器注解类型。

例如定义 @PositionRedLine：

@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Documented
@Repeatable(PositionRedLine.Container.class)
public @interface PositionRedLine {
    String value() default ""; // 岗位名称，如 "SECURITY_OFFICER"
    String reason() default "违反岗位红线"; // 拒绝时提示
    String[] actions() default {}; // 限制的操作码，如 {"EXPORT_LOG", "ALTER_CONFIG"}
<pre class="brush:java;toolbar:false;">@Target({ElementType.METHOD, ElementType.TYPE})
@Retention(RetentionPolicy.RUNTIME)
@Documented
@interface Container {
    PositionRedLine[] value();
}

}

注意：
- 容器注解必须是嵌套静态接口，名称随意但习惯叫 Xxx.Container
- 容器的 value() 方法返回类型必须是当前注解类型的数组
- 编译器会自动将多个 @PositionRedLine 合并为一个 Container 实例

二、在 Controller 或 Service 方法上连续标注多个岗位

现在可以直接在方法上叠加多个 @PositionRedLine，清晰表达“只要用户持有任一被标注岗位，就触发对应校验”：

OpenJDK 24

下载

@PostMapping("/api/logs/export")
@PositionRedLine(value = "SECURITY_OFFICER", actions = {"EXPORT_LOG"}, reason = "安全岗禁止导出日志")
@PositionRedLine(value = "DATA_OWNER", actions = {"EXPORT_LOG"}, reason = "数据负责人禁止导出原始数据")
@PositionRedLine(value = "OPS_ENGINEER", actions = {"EXPORT_LOG"}, reason = "运维岗需审批后导出")
public ResponseEntity exportLogs(@RequestBody ExportRequest req) {
    // ...
}

这样写语义明确：三个岗位各自守一条线，互不干扰，也不需要合并成一个大枚举或复杂条件表达式。

三、统一拦截：解析多个注解并执行动态校验

借助 Spring AOP 或 HandlerMethodArgumentResolver，在执行前获取所有 @PositionRedLine 注解实例，逐条比对当前用户岗位与操作行为：

从 ProceedingJoinPoint 或 HandlerMethod 中提取全部 PositionRedLine 注解（调用 getAnnotationsByType(PositionRedLine.class)）
遍历每条红线，检查当前用户是否拥有注解中声明的 value（岗位编码）
若命中，再判断本次请求操作是否在 actions 列表中（如 request.getActionCode().equals("EXPORT_LOG")）
任意一条匹配即拒绝，抛出自定义异常或返回 403，并附带注解中的 reason 提示

关键点：不用提前硬编码岗位与权限的映射关系，规则随注解走，新增岗位红线只需加一行注解，不改校验逻辑。