电商后台权限设计：RBAC模型从数据库到Spring Security的完整实现

新入群的新人小猿

255人浏览 · 2026-08-19 15:27:57

新入群的新人小猿 · 2026-08-19 15:27:57 发布

电商后台的权限管理远不止"管理员能看到所有菜单，运营只能看订单"—还要细到"北京门店的运营只能看到北京地区的订单"、"A部门的员工不能操作B部门的商品"。这就是RBAC（基于角色的访问控制）加上数据权限隔离要解决的问题。

一、RBAC五张表的标准设计

标准的RBAC模型至少需要五张表：

-- 用户表
CREATE TABLE sys_user (
id BIGINT PRIMARY KEY,
username VARCHAR(50) NOT NULL UNIQUE,
password VARCHAR(255) NOT NULL,
dept_id BIGINT,
status TINYINT DEFAULT 1
);

-- 角色表
CREATE TABLE sys_role (
id BIGINT PRIMARY KEY,
role_name VARCHAR(50) NOT NULL,
role_code VARCHAR(50) NOT NULL UNIQUE,
data_scope TINYINT DEFAULT 1 -- 1:全部 2:本部门 3:本部门及以下 4:仅本人
);

-- 权限表（菜单+按钮）
CREATE TABLE sys_permission (
id BIGINT PRIMARY KEY,
parent_id BIGINT DEFAULT 0,
perm_name VARCHAR(50) NOT NULL,
perm_type TINYINT NOT NULL -- 1:菜单 2:按钮
);

-- 用户-角色关联表
CREATE TABLE sys_user_role (
user_id BIGINT NOT NULL,
role_id BIGINT NOT NULL,
PRIMARY KEY (user_id, role_id)
);

-- 角色-权限关联表
CREATE TABLE sys_role_permission (
role_id BIGINT NOT NULL,
perm_id BIGINT NOT NULL,
PRIMARY KEY (role_id, perm_id)
);

这张表结构覆盖了90%的电商后台权限场景。data_scope字段是数据权限的关键——它决定了拥有该角色的用户能看到哪些数据范围。

二、Spring Security + JWT动态权限

Spring Security默认的hasRole('ADMIN')注解是硬编码的，角色一变就要改代码重新部署。动态权限的实现思路是：自定义FilterSecurityInterceptor，在每次请求时从数据库加载当前用户的权限列表，与请求URL匹配。

@Component
public class DynamicPermissionFilter extends OncePerRequestFilter {

@Autowired
private PermissionService permissionService;

@Override
protected void doFilterInternal(HttpServletRequest request,
HttpServletResponse response,
FilterChain chain) {
// 1. 从JWT中解析userId
Long userId = JwtUtil.getUserIdFromToken(request);

// 2. 从Redis/DB获取该用户的权限列表
Set<String> permissions = permissionService.getPermissionsByUserId(userId);

// 3. 匹配当前请求URL
String requestURI = request.getRequestURI();
boolean hasPermission = permissions.stream()
.anyMatch(p -> pathMatcher.match(p, requestURI));

if (!hasPermission) {
response.setStatus(403);
return;
}
chain.doFilter(request, response);
}
}

权限列表建议缓存到Redis，设置合理的过期时间（如30分钟），避免每次请求都查数据库。权限变更时主动清除Redis缓存。