方法引用通过编译期强类型约束固化权限语义：用 currentUser.getOrders() 替代 ID 过滤、AuthorizedDataSource 限定数据源入口、@PreAuthorize 调用 isOwnedBy 校验、record 封装受限视图，使越权操作在代码层面无法编写或编译。
方法引用本身不直接阻止越权逻辑，但它能通过编译期强类型约束，配合合理的接口设计和领域模型，让越权操作在代码层面“写不出来”或“一眼可识别”。关键不在方法引用本身，而在于如何用它把权限语义固化进类型系统。
用领域方法引用替代泛型ID操作
避免暴露原始 ID 参数，改用带所有权语义的方法引用：
- ❌ 不要这样写（易越权）：
orders.stream().filter(o -> o.getUserId().equals(targetUserId))...
攻击者可篡改 targetUserId，且编译器无法校验该 ID 是否属于当前用户 - ✅ 改为封装所有权判断：
currentUser.getOrders().stream()...
把User::getOrders作为方法引用使用，该方法内部已强制关联当前用户上下文，返回的订单集合天然受权限边界保护
用函数式接口限定数据源入口
定义仅接受“已授权数据源”的高阶函数，让越权路径无法接入流链：
- 声明接口：
interface AuthorizedDataSource<T> { Stream<T> streamFor(User currentUser); } - 实现时绑定权限逻辑：
AuthorizedDataSource<Order> myOrders = user -> user.getOrders().stream(); - 后续只能用该引用：
myOrders.streamFor(currentLoginUser).filter(...)
若有人试图传入他人 user 实例，编译失败——因为方法引用user::getOrders是绑定到特定实例的，不能随意替换主体
结合 Spring Security 表达式 + 方法引用校验
在 Controller 层用 @PreAuthorize 配合方法引用式权限表达式，把校验提前到调用前：
- 定义服务方法，明确参数归属：
public Order findOrderById(@CurrentUser User user, Long id) { ... } - 用 SpEL 引用该方法的逻辑契约：
@PreAuthorize("@orderService.isOwnedBy(#user, #id)")
其中isOwnedBy是一个真实存在的、带明确语义的方法，IDE 可跳转、可单元测试、不可绕过 - 流操作若需查单个资源，必须先走这个受控入口，而非直接调
orderRepo.findById(id)
用 record + sealed class 封装受限数据视图
让流中处理的对象本身就是“已裁剪”的权限视图，从源头杜绝越权可能：
- 定义只读视图：
record MyOrderView(Long id, String status, BigDecimal amount) {} - 提供构造方法引用：
Function<Order, MyOrderView> toMyView = order -> new MyOrderView(order.getId(), order.getStatus(), order.getAmount()); - 该函数只能由
User::getOrders返回的 Order 实例触发，而这些 Order 已经在加载时完成归属过滤 - 流中拿到的永远是
MyOrderView，没有getUserId()或原始数据库 ID 字段，无法用于横向比对或伪造请求
