应在Service层或AOP切面主动校验权限并抛出自定义RuntimeException（如AuthorizationException），含错误码、资源标识等上下文，配合@ControllerAdvice统一返回403 JSON响应并记录warn日志。

在权限校验不通过时抛出自定义异常，关键不是“能不能抛”，而是“在哪抛、怎么抛、抛什么”——要让异常语义明确、能被统一拦截、不破坏事务和日志链路。

明确抛出位置：通常在 Service 层或 AOP 切面中

不要等到数据库操作失败才兜底。应在业务逻辑入口或关键判断点主动校验并抛出：

• Service 方法开头检查用户角色、资源权限、操作白名单等规则
• 使用 @PreAuthorize 或 @PostAuthorize 的 SpEL 表达式失败时，底层会抛 AccessDeniedException，但该异常是 Spring Security 的通用类；如需区分“已登录但无权”，建议自定义后在 AOP 拦截器中替换或包装
• 数据权限拦截器（如 MyBatis-Plus InnerInterceptor）的 beforeQuery 阶段完成租户/行级权限校验，不通过就 throw

定义合适的异常类：继承 RuntimeException，带上下文信息

Spring 默认对未捕获的 RuntimeException 触发事务回滚，也便于全局 @ControllerAdvice 拦截。推荐结构：

Java注释规范Skills

当用户要求为 Java 代码添加注释、修改注释、审查注释、整理注释格式，或要求按照代码注释规范处理 Java 文件时，使用本技能。本技能用于统一生成和维护 Java 类注释模板、按 Git 对比 release 判断版本号、补充每行代码上方中文块注释、调整注释空行规则，并保持 Java 文件 UTF-8 无 BOM 编码。典型触发场景包括：补充类注释、更新 @version、检查 @author 来源、整理行尾注释、把注释放到代码上一行、检查注释是否符合规范、构建前检查 Java 注释风格。

下载

• 类名清晰，如 AuthorizationException 或 InsufficientPermissionException
• 构造函数包含错误码（如 40301）、提示消息、可选的 resourceKey 或 operationType
• 提供 getCode()、getResource() 等 getter，方便日志脱敏或监控提取

抛出时注意代码可达性与语义完整性

throw 是语句，执行后当前方法立即退出，后续代码不可达。务必确保：

• 校验逻辑写在 throw 前，比如先查用户权限列表，再判断是否包含 targetAction
• 消息中包含可定位信息，例如 “用户[ID:U123] 无权执行[deleteOrder]操作于订单[O789]”
• 避免空消息或泛化描述，如 “权限不足” 应升级为 “缺少【订单删除】角色权限”

配合全局异常处理器返回标准响应

仅抛出还不够，需让前端收到一致的 403 和结构化 JSON：

• 用 @ControllerAdvice + @ExceptionHandler 捕获自定义异常类
• 设置 response.setStatus(403)，返回 { "code": 40301, "message": "无权删除该订单" }
• 记录 warn 日志，含用户ID、请求路径、异常堆栈（可选）

Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南