SpringSecurity实现RBAC权限验证

在Spring Security中实现RBAC（Role-Based Access Control）权限验证，通常需要定义角色和权限的关系，并且可以使用Spring Security的注解来确保方法或者URL的访问权限。

以下是一个简化的例子：

1. 定义角色和权限的关系。

// 权限定义
public enum Permission {
    USER_READ, USER_WRITE, USER_DELETE
}
 
// 角色权限关系
public class Role {
    private String name;
    private Collection<Permission> permissions;
 
    // 构造函数、getter和setter省略
}

2. 在Spring Security配置中应用角色和权限。

@Configuration
@EnableGlobalMethodSecurity(prePostEnabled = true)
public class SecurityConfig extends WebSecurityConfigurerAdapter {
 
    @Autowired
    private UserDetailsService userDetailsService;
 
    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService);
    }
 
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http
            // 其他配置省略
            .authorizeRequests()
            .antMatchers("/users/**").hasAuthority(Permission.USER_READ.name())
            .anyRequest().authenticated()
            .and()
            // 其他配置省略
        ;
    }
}

3. 用户登录时，根据用户的角色来加载相应的权限。

@Service
public class UserDetailsServiceImpl implements UserDetailsService {
 
    @Autowired
    private UserService userService;
 
    @Override
    public UserDetails loadUserByUsername(String username) throws UsernameNotFoundException {
        User user = userService.findByUsername(username)
            .orElseThrow(() -> new UsernameNotFoundException("User not found"));
 
        List<GrantedAuthority> authorities = user.getRoles().stream()
            .flatMap(role -> role.getPermissions().stream())
            .map(permission -> new SimpleGrantedAuthority(permission.name()))
            .collect(Collectors.toList());
 
        return new org.springframework.security.core.userdetails.User(
            user.getUsername(), 
            user.getPassword(), 
            authorities
        );
    }
}

4. 在需要权限验证的方法上使用注解。

@Service
public class UserService {
 
    @PreAuthorize("hasAuthority('" + Permission.USER_READ + "')")
    public User getUserById(Long id) {
        // 获取用户逻辑
    }
 
    // 其他方法省略
}

在这个例子中，我们定义了一个权限枚举Permission来表示不同的权限，然后在Role类中定义了角色和权限的关系。在SecurityConfig中，我们配置了HTTP安全策略，对于/users/**的URL，要求用户拥有USER_READ的权限才能访问。在\`UserDetailsServ