基于用户权限的资源获取逻辑：控制器还是服务层实现？

我需要实现资源获取功能，根据当前登录用户的身份区分行为：管理员可获取全部资源，普通用户仅能获取自身可访问的资源。请问这类场景有哪些推荐方案？哪种实现方式最优及原因？我整理了以下三种方案：

方案1：控制器层实现 #

@GetMapping(value = "/myresources")
public void exportKdSchema(HttpServletResponse response) {
    User user = getConnectedUser();
    if(user.isAdmin()) {
        resourceService.getAllResources();
    }
    else {
        resourceService.getAllResourcesByUser(user);
    }
}

这种方式逻辑直接，在控制器内就能完成权限判断和分支处理，但违反了控制器的单一职责——控制器本该只负责请求转发、参数校验这类和请求相关的操作，把业务判断逻辑混在这里，后续修改权限规则或复用逻辑时，会增加维护成本。

方案2：服务层实现 #

@GetMapping(value = "/myresources")
public void exportKdSchema(HttpServletResponse response) {
    User user = getConnectedUser();
    resourceService.getResourcesByUser(user);
}

@Service 
public class ResourceService{
    public List<Resource> getResourcesByUser(User user) {
        if(user.isAdmin()) {
            return resourceRepository.findAll();
        }
        else {
            return resourceRepository.findAllByUserId(user.getId());
        }
    }
}

这个方案把权限判断逻辑移到了服务层，控制器只负责获取当前用户并调用服务方法，完全符合分层架构的职责划分。业务逻辑集中在服务层，后续其他场景需要获取资源时，可直接复用该服务方法，无需重复编写权限判断代码。而且权限规则的修改仅需调整服务层，不会影响控制器代码。

方案3：创建两个独立控制器接口 #

@PreAuthorize("hasRole('RESOURCES_ALL')")
@GetMapping(value = "/myresources")
public void exportKdSchema(HttpServletResponse response) {
    resourceService.getAllResources();        
}

@GetMapping(value = "/myresources/{userId}")
public void exportKdSchema(@PathVariable("userId") Long userId) {
    resourceService.getAllResourcesByUser(user);
}

这种方式通过两个接口区分权限，用@PreAuthorize做拦截，看似职责清晰，但存在明显问题：一是普通用户接口需要传入userId，容易被恶意篡改参数获取他人资源，必须额外校验当前登录用户ID与路径参数ID是否一致；二是前端需根据用户身份调用不同接口，增加了前端逻辑复杂度，接口数量增多也提升了维护成本。

最优方案：服务层实现（方案2） #

选择方案2的核心原因如下：

1. 职责划分清晰：控制器专注处理请求，服务层处理业务逻辑，贴合分层架构设计思路，代码结构更清爽，后续维护更省心。
2. 逻辑复用性强：服务层的getResourcesByUser方法可被多个控制器或服务调用，避免重复编写权限判断代码。
3. 权限逻辑集中可控：所有权限规则集中在服务层，后续调整权限（如新增角色、修改资源可见范围）仅需修改服务层代码，不影响其他层级。
4. 降低前后端复杂度：前端只需调用同一个接口，后端自动处理权限逻辑，无需前端额外做身份判断，减少了前后端沟通与开发成本。

若要进一步优化方案2，可考虑：

• 用AOP切面或自定义权限注解，将权限判断逻辑从服务层抽离，让服务层更专注于资源获取的核心业务，也便于统一管理所有权限规则。
• 在服务层方法中增加参数校验，确保传入的用户信息合法，避免空指针或非法用户的异常情况。

内容的提问来源于stack exchange，提问作者Pierre GUILLAUME