Spring Boot中用Spring Security实现细粒度权限控制的关键是分层落地：先通过UserDetailsService与PasswordEncoder确保认证可靠，再以角色+权限两级模型支撑决策，最后通过SecurityFilterChain配置URL级规则、@PreAuthorize实现方法级动态校验，并依托数据库建模支持运行时权限调整。
在 Spring Boot 中用 Spring Security 实现细粒度权限控制，关键不是堆功能，而是分层落地：先确保登录可信，再靠角色+权限两级模型支撑决策，最后把规则精准绑定到接口或方法上。核心是把“谁能在什么条件下操作哪个资源”这个业务逻辑，翻译成 Spring Security 能执行的安全表达式。
认证可靠是前提
没有可信的身份，授权就无从谈起。必须通过 UserDetailsService 一次性加载用户、所属角色、关联权限，并用 PasswordEncoder（如 BCrypt）校验密码。避免每次请求都查库，也别在代码里硬写明文密码或简单哈希。
- 自定义 UserDetailsService 实现，从数据库查出用户 + 角色集合 + 权限字符串列表（如 ["user:read", "doc:edit:own"]）
- 返回的 UserDetails 对象中，getAuthorities() 方法需封装所有权限（Authority），不只是角色
- 密码字段必须经 encode 后存库，比对时由 DaoAuthenticationProvider 自动调用 matches()
URL 级权限按需放行
用 SecurityFilterChain 配置路径规则，适合做粗粒度分流和静态资源保护。重点不是全拦，而是明确哪些路径需要什么权限。
- 优先匹配具体路径，比如
/api/admin/**→hasRole('ADMIN') - 开放公共接口，如
/actuator/health、/login、/swagger-ui/**，用permitAll() - 兜底规则建议设为
authenticated()，而不是permitAll()，防止漏配导致越权
方法级控制用 @PreAuthorize + SpEL
真正实现“细粒度”的地方在这里。一行注解就能判断当前用户能否操作某条数据，无需在业务逻辑里写 if-else。
立即学习“Java免费学习笔记（深入）”；
- 启用方法安全：启动类加
@EnableMethodSecurity（Spring Security 6+） - 检查角色：
@PreAuthorize("hasRole('EDITOR')") - 检查权限码：
@PreAuthorize("hasAuthority('doc:delete')") - 调用业务方法判断数据归属：
@PreAuthorize("@docService.isOwner(authentication.name, #docId)") - 组合条件：
@PreAuthorize("hasAuthority('order:refund') and #amount
动态权限支持要靠数据建模
如果权限规则来自数据库（比如后台可配置菜单、按钮、数据范围），就不能只靠静态注解。需要扩展两个核心接口：
- FilterInvocationSecurityMetadataSource：根据请求 URL 查出它对应的权限集合（如 ["menu:report", "btn:export"]）
- AccessDecisionManager：对比当前用户权限与所需权限，决定是否放行
- 数据库至少包含用户表、角色表、权限表、用户-角色关联表、角色-权限关联表（5 张起），支持运行时调整
