泛型嵌套结构在动态分级权限图谱建模中，核心作用是让“权限层级”与“数据类型”在编译期就对齐，避免运行时类型擦除导致的越权访问或强制转换异常。
泛型嵌套结构在动态分级权限图谱建模中，核心作用是让“权限层级”与“数据类型”在编译期就对齐，避免运行时类型擦除导致的越权访问或强制转换异常。它不是堆砌泛型，而是用类型参数把「谁」「能做什么」「在哪个资源上」「按什么策略」这四层语义串起来。
用嵌套泛型表达权限层级与资源粒度
分级权限常含多级结构：租户 → 应用 → 模块 → 实体 → 字段。每一层都可能绑定不同类型的上下文（如租户ID是String，实体ID是Long，字段名是String）。直接用Map<Object, Object>或统一Permission<?>会丢失类型约束。
推荐建模方式：
- 定义基础权限单元：Permission<R, A>，其中R是资源类型（如User、Order），A是动作枚举（如Read、Mask）
- 构建层级容器：ScopedPermission<T, P extends Permission<?, ?>>，表示某类主体（T）在特定作用域下持有的权限集合，其P可进一步是另一个泛型权限（如FieldLevelPermission<User, String>）
- 最终图谱节点：PermissionNode<Subject, Resource, Action, Context>，四个类型参数分别对应权限四元组，确保任意节点实例化时，类型链完整闭合
防范深层类型穿透的关键设计
类型穿透指嵌套过深后，外层泛型无法约束内层实际类型，例如List<Map<String, ?>>中?仍可被误赋为Integer或File——这在权限校验中可能导致绕过字段级脱敏逻辑。
防御手段包括：
- 禁用通配符裸用：不用Permission<?, ?>，改用带界限定的Permission<? extends Identifiable, ? extends ActionEnum>
- 封装不可变视图：对外暴露getPermissions()时返回Collections.unmodifiableList(...)，并用私有构造器控制嵌套实例创建入口
- 引入类型标记接口：如interface FieldResource extends Resource {}，让FieldLevelPermission必须实现该接口，强制类型收敛
- 配合注解校验：在关键方法（如check(PermissionNode<S,R,A,C> node)）上加@TypeSafe自定义注解，由APT在编译期检查嵌套深度与类型匹配
结合图谱结构落地权限决策
权限图谱本质是节点（权限单元）与边（继承/委托/覆盖关系）构成的有向图。泛型嵌套不替代图存储，而是保障图中每个节点携带的类型信息可被策略引擎精确消费。
例如：
- 图中一个节点类型为PermissionNode<TenantAdmin, Product, Update, MaskingContext>，表示租户管理员对商品数据有更新权，并启用字段脱敏策略
- 校验时，策略引擎根据MaskingContext自动注入脱敏处理器，无需运行时if-else判断上下文类型
- 当图谱动态新增节点（如授予某用户PermissionNode<DataScientist, SalesReport, Export, EncryptionContext>），新类型参数立刻参与编译检查，防止EncryptionContext被错误用于非导出场景
注意反序列化与运行时类型擦除风险
JSON 或数据库持久化时，泛型信息会丢失。若直接用jackson反序列化PermissionNode<User, Order, Read, AuditContext>，可能得到PermissionNode<Object, Object, Object, Object>。
应对方式：
- 使用TypeReference显式传入完整泛型类型：mapper.readValue(json, new TypeReference<PermissionNode<User, Order, Read, AuditContext>>(){})
- 在类中保留类型令牌：private final TypeToken<PermissionNode<S,R,A,C>> typeToken;，供序列化框架读取
- 对关键权限节点启用运行时类型校验钩子：在setContext(C context)中加入if (!(context instanceof AuditContext)) throw new SecurityException(...)
