应在Service层或AOP切面主动校验权限并抛出自定义RuntimeException（如AuthorizationException），含错误码、资源标识等上下文，配合@ControllerAdvice统一返回403 JSON响应并记录warn日志。
在权限校验不通过时抛出自定义异常，关键不是“能不能抛”，而是“在哪抛、怎么抛、抛什么”——要让异常语义明确、能被统一拦截、不破坏事务和日志链路。
明确抛出位置：通常在 Service 层或 AOP 切面中
不要等到数据库操作失败才兜底。应在业务逻辑入口或关键判断点主动校验并抛出：
- Service 方法开头检查用户角色、资源权限、操作白名单等规则
- 使用 @PreAuthorize 或 @PostAuthorize 的 SpEL 表达式失败时，底层会抛 AccessDeniedException，但该异常是 Spring Security 的通用类；如需区分“已登录但无权”，建议自定义后在 AOP 拦截器中替换或包装
- 数据权限拦截器（如 MyBatis-Plus InnerInterceptor）的 beforeQuery 阶段完成租户/行级权限校验，不通过就 throw
定义合适的异常类：继承 RuntimeException，带上下文信息
Spring 默认对未捕获的 RuntimeException 触发事务回滚，也便于全局 @ControllerAdvice 拦截。推荐结构：
Java注释规范Skills
下载
当用户要求为 Java 代码添加注释、修改注释、审查注释、整理注释格式，或要求按照代码注释规范处理 Java 文件时，使用本技能。本技能用于统一生成和维护 Java 类注释模板、按 Git 对比 release 判断版本号、补充每行代码上方中文块注释、调整注释空行规则，并保持 Java 文件 UTF-8 无 BOM 编码。典型触发场景包括：补充类注释、更新 @version、检查 @author 来源、整理行尾注释、把注释放到代码上一行、检查注释是否符合规范、构建前检查 Java 注释风格。
- 类名清晰，如 AuthorizationException 或 InsufficientPermissionException
- 构造函数包含错误码（如 40301）、提示消息、可选的 resourceKey 或 operationType
- 提供 getCode()、getResource() 等 getter，方便日志脱敏或监控提取
抛出时注意代码可达性与语义完整性
throw 是语句，执行后当前方法立即退出，后续代码不可达。务必确保：
立即学习“Java免费学习笔记（深入）”；
- 校验逻辑写在 throw 前，比如先查用户权限列表，再判断是否包含 targetAction
- 消息中包含可定位信息，例如 “用户[ID:U123] 无权执行[deleteOrder]操作于订单[O789]”
- 避免空消息或泛化描述，如 “权限不足” 应升级为 “缺少【订单删除】角色权限”
配合全局异常处理器返回标准响应
仅抛出还不够，需让前端收到一致的 403 和结构化 JSON：
- 用 @ControllerAdvice + @ExceptionHandler 捕获自定义异常类
- 设置 response.setStatus(403)，返回 { "code": 40301, "message": "无权删除该订单" }
- 记录 warn 日志，含用户ID、请求路径、异常堆栈（可选）
