哈哈，今天咱们聊点技术花里胡哨的——SpEL Bean 注入实现优雅权限控制！这个玩意儿听起来高大上，其实就是把复杂的权限判断用Spring表达式语言搞定，让代码kan起来像诗一样美。别急着走，听我慢慢道来...

你懂的，传统权限控制不是写一大堆if-else就是AOP切面弄得像面条一样乱。SpEL呢？它让你在方法上写个注解就Neng搞定复杂逻辑！比如：

@PreAuthorize")

这行代码就Neng判断当前用户是否属于某个家庭且角色是管理员以上。是不是比自己写一堆if-else爽多了？

我们需要创建一个Bean来封装这些自定义权限检查逻辑。kankan这个SecurityEvaluator类：

@Component
public class SecurityEvaluator {
    // 检查用户等级是否满足要求
    public boolean userLevelGe {
        UserContext ctx = getCtx;
        return ctx != null && ctx.getUserLevel>= requiredLevel;
    }
    // 简单吧？还有geng多...
}

关键点：这个Bean名字叫"sec"，所以后面表达式里Ke以直接用@sec.xxx调用它的方法。

. 保留 Spring Security 默认配置

@Configuration@EnableMethodSecurity  // 启用方法安全，使用默认的表达式处理器public class InternalSecurityConfig {​    @Bean    public SecurityFilterChain filterChain throws Exception {        http           .csrf           .sessionManagement)           .authorizeHttpRequests.permitAll)     ². exceptionHandling(ex -> ex ....

kankan下面这个Controller例子：

@RestController
@RequestMapping
public class FamilyController {
    @PostMapping
    @PreAuthorize")
    public R addMember {
        // 唯家庭管理员及以上可调用
        return R.ok;
    }
}

这段代码就实现了只有家庭管理员才Neng添加成员的功Neng。是不是特别简洁？而且还支持组合使用不同权限规则！

. Q&A 时间到啦~

Q：Ke以同时使用 hasRole 和 @sec吗？ A:完全支持!比如这样组合: hasRole or @sec.hasFamilyAccess .太方便了吧!

. 动态数据权限控制

不要直接拼接用户输入到 SpEL 表达式!防止表达式注入.这些Neng力,恰好覆盖了权限判断所需的全部要素:谁、对什么、Neng不NengZuo.

无冲突:  不使用自定义 ExpressionRoot，不会与 Spring Security 内部自动配置打架。

易维护:  所有权限逻辑集中在一个 Bean 中，修改或新增方法只需添加一个 public 方法。

可测试:  Bean方法可单独进行单元测试。

灵活性高:  可在 SpEL 中自由组合内置权限检查)与自定义业务检查.