Qoder支持通过Quest模式、Agent Mode和Casbin对接三种方式为后端接口添加角色权限控制：Quest模式一键生成带RBAC校验的完整接口代码；Agent Mode分阶段验证运行时权限逻辑；Casbin对接实现动态策略管理。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要为后端接口添加角色权限控制，比如让管理员能删用户、普通用户只能改自己资料，Qoder能直接根据自然语言描述生成带RBAC校验逻辑的完整接口代码，不用手动写拦截器或注解。
用Quest模式一键生成权限接口
这一步适合已有项目结构、想快速补全鉴权能力的场景。Qoder会自动读取你当前项目的User实体、角色字段定义和数据库表结构，确保生成的权限逻辑与现有模型对齐。
1、在Qoder主界面输入框中输入明确需求，例如：“生成用户管理接口，支持管理员查看全部用户列表、编辑任意用户信息，普通用户仅可修改自身邮箱和头像，所有操作需JWT校验，拒绝时返回403错误”。
2、点击“Run Quest”按钮或按快捷键Ctrl+Enter（Windows/Linux）/Cmd+Enter（macOS）。
3、Qoder自动解析项目中的Role枚举、Authority常量类及SecurityConfig配置，生成Controller层带@PreAuthorize注解的方法、Service层细粒度校验逻辑，并在Mapper XML中注入租户隔离条件（如WHERE user_id = #{currentUserId} OR #{hasAdminRole} = true）。
4、生成代码将自动插入对应包路径下；【若项目未启用Spring Security AOP代理，请先在主类添加@EnableGlobalMethodSecurity(prePostEnabled = true)】，否则@PreAuthorize注解不会生效。
用Agent Mode分阶段验证权限逻辑
当你需要严格控制每处权限判断的执行时机，或项目存在自定义鉴权中间件时，Agent Mode提供人工检查点，避免AI一次性生成导致校验位置错位。
方法一：基于现有JWT解析结果做运行时校验
1、在Qoder IDE中启用Agent Mode，输入指令：“为/user/{id}/profile接口添加运行时权限校验：若请求token中user_id与路径参数id不一致，且当前角色非ADMIN，则抛出AccessDeniedException”。
代码编辑 CLI 工具集合：Cursor CLI（agent）和 Qoder CLI（qodercli），用于代码修改、重构、Code Review 及自动化代码任务。
2、等待Agent输出代码后，在检查点确认：是否从SecurityContext获取Authentication对象、是否正确调用authentication.getAuthorities()比对ROLE_ADMIN、异常是否被全局@ExceptionHandler捕获并转为403响应。
方法二：复用已定义的权限表达式
在Service方法上直接使用已注册的权限键，例如@Secured("PERM_USER_UPDATE")；Qoder会自动扫描项目中@PreAuthorize("hasAuthority('PERM_USER_UPDATE')")的定义位置，并确保生成的接口引用同一字符串常量。
对接外部权限中心（如Casbin）
适用于权限规则频繁变更、需动态加载策略的中大型系统。Qoder支持生成适配Casbin Adapter的标准接口，无需手写Enforcer初始化逻辑。
1、确认项目已引入casbin-spring-boot-starter依赖，且application.yml中配置了model.conf路径与adapter类型（file/jdbc）。
2、在智能会话窗口输入：“为订单取消接口/order/{id}/cancel生成Casbin权限校验，策略规则为：p, ROLE_USER, /order/{id}/cancel, POST, allow；p, ROLE_ADMIN, /order/*, POST, allow；g, alice, ROLE_USER”。
3、Qoder生成Enforcer注入Bean、HTTP拦截器注册代码，并在Controller方法上添加@CasbinAuth注解。
4、【Casbin策略文件必须放在resources/casbin目录下，且model.conf中SUBJECT_FIELD需与JWT token内claims字段名完全一致（如sub而非user_id）】，否则策略匹配失败。
