Java 项目中怎么基于 Spring Boot 构建企业级通用权限系统-java教程-PHP中文网

企业级权限系统核心是理清“谁、能做什么、在哪做”，通过rbac模型解耦用户与权限，用spring security+jwt分离认证鉴权，统一权限标识、三级权限粒度及关键安全细节保障可维护性与安全性。

java 项目中怎么基于 spring boot 构建企业级通用权限系统

直接用 Spring Boot 搭建企业级通用权限系统，核心不是堆功能，而是理清“谁、能做什么、在哪做”这三件事。重点是把用户、角色、权限、资源四者的关系落到代码和数据库里，同时让认证和鉴权不耦合、不硬编码、不只靠前端拦截。

选对模型：RBAC 是起点，不是终点

RBA C（基于角色的访问控制）仍是后台系统最稳妥的选择。它用“角色”作为中间层，把用户和权限解耦——用户只关联角色，角色再绑定权限。这样新增一个运营专员角色，只需配置对应菜单+按钮+接口权限，不用改任何业务代码。

典型表结构要包含：

用户表（sys_user）：存登录名、密码（BCrypt 加密）、状态等
角色表（sys_role）：角色名称、描述、是否启用
权限/资源表（sys_permission）：建议用唯一英文标识（如 user:list、order:export），避免中文或 URL，便于后端注解和前端判断统一
角色-权限关联表（sys_role_permission）：多对多关系
用户-角色关联表（sys_user_role）：支持一个用户多个角色

用 Spring Security + JWT 做认证鉴权分离

JWT 不是万能钥匙，它只负责“你是谁”；Spring Security 负责“你能干啥”。两者要配合，不能混用。

deep-java-review

Java项目代码review工具。分析Git变更+完整调用链路上下文，推断业务需求，进行多维度评分和分类汇总，生成完整PRD文档。包含细粒度Java代码审查清单（Null安全、异常处理、Streams、并发、equals/hashCode、资源管理、API设计、性能、MyBatis/ORM、事务边界、SQL/DD...

下载

登录成功后生成 JWT，payload 中只放 userId 和 username，不要塞角色列表或权限列表（易篡改、体积大）
每次请求携带 JWT，Security 过滤器解析 token 后，查库加载该用户的全部角色和权限，构造成 Authentication 对象
接口权限用 @PreAuthorize("hasAuthority('user:delete')") 控制，而不是 if (role.equals("admin")) { ... }
菜单和按钮权限由前端调用 /api/menu 接口获取，后端根据当前用户动态返回有权限的菜单树（含按钮标识）

权限点设计要收敛、可追溯

权限粒度决定系统后期好不好维护。推荐三级划分：

菜单级：控制左侧导航是否显示（如“用户管理”）
操作级：控制页面内按钮是否可见/可用（如“新增”、“导出”）
数据级：同为“查看用户”，A 角色只能看本部门，B 角色可看全公司（需结合 MyBatis 拦截器或 SQL 动态拼接实现）

所有权限标识统一注册在枚举类或配置中心，禁止散落在 Controller 或前端代码里。比如定义：

public enum PermissionCode {
    USER_LIST("user:list"),
    USER_ADD("user:add"),
    ORDER_EXPORT("order:export");
    private final String code;
    // 构造 + getter
}