CodeBuddy创建角色需锁定上下文、结构化声明四元组权限，并闭环验证继承链、注解生效、DTO校验及JWT角色映射，避免硬编码与逻辑矛盾。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
CodeBuddy创建角色时若未明确行为边界与权限继承链，极易导致角色间能力重叠、权限覆盖失效或校验逻辑自相矛盾——例如“管理员”角色被赋予了@Validated校验但又绕过JWT拦截器，最终在生产环境触发500错误而非401。
定义角色前先锁定上下文
打开VS Code → 确保当前工作区已加载完整项目（含pom.xml、application.yml和.codebuddy-constraints.json）→ 在CodeBuddy插件侧边栏点击“新建角色”按钮。
【上下文污染是埋雷主因】。如果此前对话中让CodeBuddy改过三次RoleService.java，且未清空历史，它会把前两次错误的权限合并逻辑当作“默认行为”继续沿用。
执行@project-root指令，强制AI读取根目录下全部约束文件；再输入：“请基于Spring Security 6.3+规范，为本项目设计三类角色：ADMIN、EDITOR、VIEWER，不生成任何硬编码校验逻辑。”
角色能力声明必须结构化
避免使用“有编辑权限”“能看报表”这类模糊表述。需拆解为可验证的四元组：
方法一：主体-行为-客体-约束
输入：“ADMIN(主体)分配(行为)角色(客体)，一个ADMIN可分配多个角色，一个角色仅由一个ADMIN分配。”
CodeBuddy Code CLI 的安装、配置与使用指南。CodeBuddy Code 是腾讯推出的 AI 驱动 CLI 编程助手，支持自然语言驱动开发。 - 必备触发词：CodeBuddy, codebuddy, AI CLI, Tencent AI coding, @tencent-ai/codebuddy-code, terminal AI assistant - 适用场景：安装 CodeBuddy CLI、配置 CodeBuddy、使用 CodeBuddy 命令、排查 CodeBuddy 问题
方法二：显式标注基数与互斥性
输入：“EDITOR与VIEWER互斥；ADMIN可同时拥有EDITOR权限，但VIEWER不可升级为ADMIN。”
方法三：绑定校验锚点
输入：“所有涉及/api/v1/role/**路径的操作，必须触发@PreAuthorize("hasRole('ADMIN')")，且该注解不得出现在RoleController以外的任何类中。”
验证角色逻辑闭环
第一步：检查角色继承是否真实生效
在SecurityConfig.java中确认http.authorizeHttpRequests()链路里存在requestMatchers("/api/v1/**").authenticated()，且hasRole("ADMIN")等表达式未被permitAll()覆盖。
第二步：测试权限覆盖漏洞
启动服务后，用Postman向/api/v1/role/create发送带EDITOR令牌的POST请求，观察返回码——若返回200而非403，说明@PreAuthorize未加载或表达式写错。
第三步：反查DTO校验是否被绕过
临时删掉CreateRoleRequest中的@NotBlank，重新编译启动；若此时空参请求仍返回400，证明校验逻辑被硬编码进RoleService.create()方法内——这是CodeBuddy常见幻觉，必须手动删除并补回标准注解。
第四步：确认JWT payload与角色映射一致
登录后获取token → 粘贴至jwt.io → 查看roles字段值是否为["ADMIN"]字符串数组；若显示"ROLE_ADMIN"或["admin"]，说明GrantedAuthority转换器未按Spring Security约定命名。
