如何在Spring Security中定义用户角色及其权限？

在Spring Security中，定义用户角色和权限通常涉及以下几个步骤：

1. **配置数据源和认证管理**：
首先，你需要配置数据源（如JDBC、Hibernate或NoSQL）来存储用户的登录信息，包括用户名和密码。同时，配置`UserDetailsService`接口的实现，这个接口负责从数据源获取用户的详细信息。

2. **创建用户实体**：
创建一个用户实体（通常是继承自`UserDetails`），包含用户名、密码等基本信息，以及角色列表。例如：

@Entity
public class User implements UserDetails {
    @Id
    private Long id;
    private String username;
    private String password;
    // roles列表
    private List<String> authorities;
    // 其他属性...
}

3. **定义角色和权限映射**：
定义一个角色和权限的映射表，比如RolePermission表，用来关联用户的角色（role）和他们对应的权限（permission）。

4. **配置Spring Security的配置类**：
在`WebSecurityConfigurerAdapter`中，设置用户认证器（`AuthenticationProvider`）、授权策略（`AuthorizationManager`）以及访问决策管理器（`AccessDecisionManager`）。例如，你可以使用`@PreAuthorize`注解来标记需要特定权限的方法。

@Configuration
@EnableWebSecurity
public class SecurityConfig extends WebSecurityConfigurerAdapter {

    @Autowired
    private RolePermissionRepository rolePermissionRepository;

    @Override
    protected void configure(AuthenticationManagerBuilder auth) throws Exception {
        auth.userDetailsService(userDetailsService())
           .passwordEncoder(passwordEncoder());
    }

    // 添加自定义的权限检查方法
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .antMatchers("/admin/**").hasRole("ADMIN")
            .anyRequest().authenticated()
            .and()
            .accessDecisionManager(accessDecisionManager)
            .and()
            .formLogin();
    }

    // 自定义的权限决定器
    public AccessDecisionManager accessDecisionManager() {
        return new SimpleAccessDecisionManager(Arrays.asList(new AccessDecisionVoter[]{new CustomPermissionVoter(rolePermissionRepository)}));
    }
}

在这个例子中，`hasRole("ADMIN")`表示只有拥有"ADMIN"角色的用户才能访问/admin路径下的资源。

**相关问题--:**
1. Spring Security如何区分不同角色的权限？
2. `CustomPermissionVoter`是如何工作的？
3. Spring Security中的`@PreAuthorize`注解有哪些其他参数可以选择？