Java注解作为元数据载体，配合Spring Security的@PreAuthorize、自定义SecurityExpressionRoot和AOP切面，实现语义化、可复用、可缓存的组合权限控制。
Java 注解本身不执行逻辑，但可以作为元数据载体，配合 Spring Security 的 @PreAuthorize、自定义 SecurityExpressionRoot 或 AOP 切面，将注解声明的权限规则与布尔表达式结合，实现微服务中灵活、可复用的组合权限控制。
注解定义权限语义，不硬编码逻辑
避免在注解中直接写 SpEL 表达式（如 @RequirePermission("hasRole('ADMIN') and #userId == authentication.principal.id")），而是用语义化属性描述“要什么”，把“怎么判断”交给统一的表达式解析器。
- 定义注解如
@RequireResourceAccess(resource = "order", action = "delete", scope = "own")，其中scope="own"表示仅限操作本人资源 - 注解不包含具体用户 ID、租户 ID 等运行时变量，只声明意图，保持静态可读性
- 配合 Spring 的
MethodSecurityMetadataSource，将注解转为可执行的 SpEL 表达式字符串（例如："hasRole('ADMIN') or (#resourceService.isOwner(#id, authentication.principal.id) and hasAuthority('ORDER_DELETE_OWN'))"）
用 SpEL + 自定义方法支撑复杂布尔组合
Spring Security 的 SpEL 支持方法调用、逻辑运算和安全上下文访问，是组合权限的核心执行层。
- 在
SecurityExpressionRoot子类中暴露业务方法，如isSameTenant()、hasAnyRole(String...)、canAccessResource(String resourceId) - 在 Controller 方法上使用
@PreAuthorize引用这些方法：@PreAuthorize("@authzService.canDeleteOrder(#orderId) and hasRole('USER')") - 支持嵌套布尔逻辑：
@PreAuthorize("(hasRole('ADMIN') or hasRole('MANAGER')) and @tenantChecker.inSameTenant(#orderId) and @resourceOwnerChecker.isOwner(#orderId, #userId)")
注解 + AOP 实现跨服务权限委托与缓存
微服务间权限校验常需远程调用（如鉴权中心、租户服务），直接写在 SpEL 中会阻塞主流程。用 AOP 封装调用，并缓存结果提升性能。
立即学习“Java免费学习笔记（深入）”；
- 定义
@RemotePermissionCheck(service = "authz", method = "checkAccess")，AOP 切面拦截后异步调用 AuthzService REST 接口 - 对高频权限组合（如 “租户内编辑+自己创建”）做本地 Caffeine 缓存，key 包含
principalId + resourceId + permissionKey - 切面返回布尔值，供 SpEL 表达式消费：
@PreAuthorize("@permissionCache.check(#id, 'order:edit')")
统一权限上下文注入，避免重复取参
微服务中常见从请求头、JWT 或 ThreadLocal 提取租户 ID、用户角色等，若每次都在 SpEL 中手动解析，易出错且难维护。
- 扩展
SecurityExpressionOperations，在getEvaluationContext()中注入预解析的上下文对象，如currentTenantId、userRoles、scopes - SpEL 可直接使用：
@PreAuthorize("currentTenantId == #tenantId and userRoles.contains('EDITOR') and scopes.contains('write')") - 该上下文由网关或 Filter 统一注入，各服务无需重复解析 JWT 或 Header
不复杂但容易忽略：注解是契约，SpEL 是引擎，AOP 是调度器，三者分层协作才能让组合权限既清晰又健壮。关键不是堆砌布尔表达式，而是把业务权限语义准确映射到可组合、可测试、可审计的执行单元里。
