Spring Security如何实现细粒度的权限控制？

Spring Security的细粒度权限控制主要通过定义多个权限（Permissions）和角色（Roles），以及使用`@Authorization注解`来实现。它的核心思想是在每个受保护的操作上指定所需的最小权限级别，而不是统一授予整个系统级别的角色权限。

以下是一些步骤：

1. **创建权限和角色**：定义一组细粒度的权限，例如`VIEW`, `EDIT`, `DELETE`等。然后，将这些权限与具体的用户角色关联起来。这可以通过手动配置或使用第三方库（如MethodSecurityExpressionHandler）动态生成。

2. **方法级授权**：在处理程序或控制器方法上添加`@PreAuthorize`或`@PostAuthorize`注解，结合`hasPermission()`或`hasAnyAuthority()`这样的表达式来确定用户是否有执行该方法的权限。例如：

   @GetMapping("/private-resource")
   @PreAuthorize("hasPermission(#userId, 'read')")
   public String privateResource(@PathVariable Long userId) {
      // ...
   }

3. **权限策略**：使用`AccessDecisionManager`和`AccessDecisionVoter`来制定更复杂的决策规则，例如按组（Group）或组织架构层次进行权限分配。

4. **自定义拦截器或过滤器**：通过实现`Filter`或`WebMvcConfigurer`接口，可以在URL映射之前检查权限。

通过这种方式，Spring Security允许你对每个请求进行精确的权限校验，确保只有具备相应权限的用户能够访问特定的资源。