Java中用户角色权限应基于RBAC模型解耦设计，通过用户→角色→权限三级关联、数据库五表建模、JPA/MyBatis多对多映射及Spring Security分层鉴权实现灵活可扩展管理。
Java中处理用户角色分配和角色管理，核心是把“用户”“角色”“权限”三者解耦，用灵活、可扩展、易维护的方式建模，而不是硬编码角色判断（比如if (role.equals("ADMIN"))）。
基于RBAC模型设计基础结构
推荐采用经典RBAC（Role-Based Access Control）模型：用户 → 角色 → 权限。不直接给用户赋予权限，而是通过角色间接关联。
- 数据库建三张表：
sys_user、sys_role、sys_permission，再加两张关联表：sys_user_role（用户-角色多对多）、sys_role_permission（角色-权限多对多） - Java实体对应使用JPA或MyBatis时，User类持有一组Role对象（
@ManyToMany），Role再关联Permission，避免在代码里写死角色名 - 登录成功后，从数据库加载该用户的全部角色及对应权限，存入SecurityContext或自定义UserDetails中，供后续鉴权使用
权限控制分层落地（接口/方法/数据级）
角色管理不是只做“能进不能进”，要分场景细化控制粒度：
-
接口级：用Spring Security的
@PreAuthorize("hasRole('ADMIN')")或@PreAuthorize("hasAuthority('user:delete')")，建议优先用权限字符串（authority）而非角色名，更细、更灵活 -
方法内校验：在Service层调用
SecurityContextHolder.getContext().getAuthentication()获取当前用户权限，做业务逻辑分支（如：编辑文章时判断是否为作者或管理员） - 数据级过滤：查询列表时，根据用户角色/部门动态拼接SQL条件（例如租户ID、数据可见范围），可用MyBatis拦截器或QueryDSL实现
角色动态变更与缓存策略
角色不是一成不变的，要支持后台配置、实时生效，同时避免频繁查库影响性能：
Smile企业费用管理系统源码1.0
下载
一、源码特点企业费用管理系统，有权限分配，登陆验证，新增角色，发布公告等二、功能介绍1、js的兼容性有个地方不行（比如模块排序，那个时候也是雏鸟一只，写了一小撮，现在用jq应该好处理的吧，ie里面没问题，大家发挥吧）2、里面的菜单和对应菜单下面的目录项可以根据需求自己添加的，有对应模块3、可以根据自己设定的角色添加对应的访问页面4、有些操作涉及到按钮权限，对于这种思路，我粗粗的写了2个自定义控件，
立即学习“Java免费学习笔记（深入）”；
- 用户角色信息建议缓存（如Redis），key为
user:roles:{userId}，值为角色ID列表；权限可缓存为role:perms:{roleId} - 当后台修改角色权限时，主动清除相关缓存（如删除
user:roles:*匹配key，或用布隆过滤+二级缓存方案） - 避免“登录一次永久有效”——每次请求都应基于最新权限决策，可通过JWT携带角色ID但不带具体权限，服务端再查缓存补全，兼顾性能与一致性
扩展性考虑：支持组织架构与数据权限
真实系统常需按部门、岗位、区域控制数据可见性，纯RBAC不够用：
- 在Role基础上引入
Position（岗位）、Department（部门）实体，用户可属于多个部门，角色可绑定部门范围 - 设计
DataScope注解或AOP切面，在DAO层自动注入数据过滤条件（如AND dept_id IN (SELECT id FROM sys_dept WHERE tree_path LIKE '0001%')） - 权限表达式可升级为SpEL，例如
@PreAuthorize("@dataScopeService.hasDataScope(authentication, 'report')")，把复杂规则外移
基本上就这些。关键不是堆功能，而是让角色和权限可配、可查、可追溯、不散落在if语句里。不复杂但容易忽略的是缓存刷新时机和数据级隔离的统一入口设计。
