https://xiongneng.me/tags/%E6%9D%83%E9%99%90%E7%AE%A1%E7%90%86/飞污熊小站Hugo 0.166.0 & FixIt v0.4.6-20260512073637-464c4659zh-CNyidao620@163.com (XiongNeng)yidao620@163.com (XiongNeng)XiongNengFri, 25 Sep 2026 02:16:47 +0000https://xiongneng.me/posts/java/springboot/sb4-security/Sat, 24 Oct 2026 20:00:00 +0800yidao620@163.com (XiongNeng)https://xiongneng.me/posts/java/springboot/sb4-security/Java<p>运营后台的权限需求我接到过不止一次：客服查订单，管理员取消订单、翻审计。早年我偷懒，在每个接口开头手写身份判断，<code>if (!currentUser().isAdmin())</code> 复制到十几个方法里，后来加一个角色要全局搜一遍 if，说实话我自己都说不清某个接口到底谁能调。身份认证与授权是「所有请求进业务之前都要过一遍」的横切关卡，这类活儿交给 Spring Security 的过滤器链正合适，我在这篇里把整套方案在 Spring Boot 4.1.1 加 Spring Security 7.1.1 上完整落了一遍。</p>