RBAC权限模型设计#

用户 (User)  ←M:N→  角色 (Role)  ←M:N→  权限 (Permission)

表设计：
┌──────────┐    ┌──────────────┐    ┌──────────┐    ┌──────────────┐    ┌────────────┐
│   user   │    │  user_role   │    │   role   │    │role_permission│    │ permission │
├──────────┤    ├──────────────┤    ├──────────┤    ├──────────────┤    ├────────────┤
│ id       │    │ user_id (FK) │    │ id       │    │ role_id (FK) │    │ id         │
│ username │    │ role_id (FK) │    │ name     │    │ perm_id (FK) │    │ resource   │
│ ...      │    └──────────────┘    │ desc     │    └──────────────┘    │ action     │
└──────────┘                        └──────────┘                        │ desc       │
                                                                        └────────────┘

权限 = 资源 + 操作
例：
  order:read      — 查看订单
  order:create    — 创建订单
  order:delete    — 删除订单
  user:manage     — 管理用户
  report:export   — 导出报表

层级控制：
  菜单权限：控制能看到哪些菜单
  按钮权限：控制能点击哪些操作
  数据权限：控制能看到哪些数据行（如只能看自己部门的）

问题：RBAC 控制"能不能做某操作"，但不控制"能看到哪些数据"

方案1: 行级过滤（推荐）
  SELECT * FROM orders WHERE dept_id IN (用户可见部门列表)
  → MyBatis 拦截器自动拼接条件

方案2: 数据标签
  每条数据打标签（部门/区域），查询时按标签过滤

方案3: 规则引擎
  定义规则："华东区经理可见华东+华中数据"
  → 动态生成过滤条件

用户登录时：
1. 查库获取: 用户 → 角色列表 → 权限列表
2. 缓存到 Redis: user:{id}:permissions → Set<String>
3. 每次请求从 Redis 读取权限集合做校验
4. 角色/权限变更时: 清除相关用户缓存

缓存结构：
  key: user:123:perms
  value: {"order:read", "order:create", "user:view"}
  TTL: 30min（定期刷新）

// 方法级别
@PreAuthorize("hasAuthority('order:delete')")
public void deleteOrder(Long id) { ... }

// 动态权限（从 DB 加载 URL-权限映射）
@Bean
public SecurityFilterChain filterChain(HttpSecurity http) {
    http.authorizeHttpRequests(auth -> auth
        .anyRequest().access(dynamicAuthorizationManager));
}