Spring Security实现RBAC的关键是构建“用户→角色→访问能力”链路，通过三张表（User、Role、user_role）、自定义UserDetailsService加载角色、SecurityFilterChain配置URL权限、@PreAuthorize注解实现方法级控制，并使用BCryptPasswordEncoder加密密码。
Java 项目中用 Spring Security 实现基于角色的权限控制，关键是把“用户→角色→访问能力”这条链路在框架里跑通。核心不是硬编码判断角色，而是让 Spring Security 自动根据角色做拦截和放行。
设计好用户、角色、关联关系的数据库结构
RBAC 要落地，得有三张基础表（或对应实体）：
- User 表：存用户名、密码（必须加密）、启用状态等；注意 password 字段不能明文存储
-
Role 表：存角色名，如 "ROLE_ADMIN"、"ROLE_USER"；Spring Security 默认要求角色名以 ROLE_ 开头，否则
hasRole("ADMIN")会匹配失败 - user_role 关联表：实现用户与角色的多对多关系；一个用户可拥有多个角色，一个角色也可分配给多个用户
自定义 UserDetailsService 加载角色信息
Spring Security 默认只校验账号密码，不查角色。必须自己实现 UserDetailsService 接口，在登录时一并加载用户的角色：
- 根据 username 查询用户，并关联查出其所有角色（比如通过
@ManyToMany或 SQL JOIN） - 把每个角色封装成
SimpleGrantedAuthority("ROLE_ADMIN")，组成Collection - 用
org.springframework.security.core.userdetails.User构建返回对象，传入用户名、加密后的密码、启用状态和权限集合 - 密码一定要用
BCryptPasswordEncoder加密比对，不能用{noop}或明文
配置 URL 级别的角色访问规则
在安全配置类里，用 SecurityFilterChain（Spring Boot 2.7+ 推荐）声明哪些路径需要什么角色：
-
.requestMatchers("/admin/**").hasRole("ADMIN")→ 表示请求路径以 /admin/ 开头的，必须拥有 ROLE_ADMIN 角色 -
.requestMatchers("/user/**").hasAnyRole("USER", "ADMIN")→ 支持多个角色访问同一资源 -
.requestMatchers("/public/**").permitAll()→ 静态资源、登录页等无需鉴权 -
.anyRequest().authenticated()→ 其他所有请求都要求已登录
启用方法级注解控制更细粒度逻辑
URL 控制不够细？比如同一个接口，不同角色能执行不同操作，就用注解：
- 在 Service 或 Controller 方法上加
@PreAuthorize("hasRole('ADMIN')")或@PreAuthorize("hasAuthority('user:delete')") - 必须在配置类上加
@EnableMethodSecurity（Spring Security 6.0+），旧版是@EnableGlobalMethodSecurity - 注意：方法级权限在运行时生效，适合业务逻辑分支判断，但不能替代 URL 层拦截
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
