如何将用户数据访问控制与OAuth2.0 API集成实现用户级权限隔离？

你之前的思路是完全正确的，这类细粒度的数据权限不属于角色权限（RBAC）的覆盖范围，行业通用的实现就是基于JWT身份声明和数据归属标识的校验，结合Spring Boot生态可以做到无侵入式的统一处理，不需要每个接口单独重复写校验逻辑。

前置校验 #

首先确认你的Spring Boot OAuth2资源服务器已经完成Firebase适配，可正常解析JWT、校验签名、有效期与签发方，避免伪造的token携带虚假UID绕过校验。Firebase签发的JWT默认会在payload中携带sub字段，即为当前登录用户的唯一UID，解析完成后会自动存入SecurityContextHolder的认证信息中，无需手动解析请求头。

两种可落地的实现方案（按业务复杂度选择） #

方案1：轻量实现（适合中小项目） #

直接在业务层/控制层做校验，可通过自定义注解+AOP简化重复逻辑：

• 先封装统一获取当前登录用户UID的工具方法：

public String getCurrentLoginUid() {
    Authentication auth = SecurityContextHolder.getContext().getAuthentication();
    Jwt jwt = (Jwt) auth.getPrincipal();
    return jwt.getSubject();
}

• 在对应接口中添加校验逻辑即可：

@GetMapping("/account/{customerId}")
public AccountDTO getAccount(@PathVariable String customerId) {
    String currentUid = getCurrentLoginUid();
    if (!currentUid.equals(customerId)) {
        throw new AccessDeniedException("无权限访问该数据");
    }
    // 后续正常查询返回数据
}

如果有多个同类型接口，可自定义@OwnDataPermission注解，通过AOP统一拦截路径参数中的资源归属ID与当前登录UID做比对，无需每个接口重复写校验代码。

方案2：标准化实现（适合业务复杂、安全要求高的场景） #

结合Spring Security方法级权限控制 + Postgres行级安全策略（RLS），在接口层、数据库层做双层校验，彻底避免数据泄露：

1. 开启Spring Security方法级注解支持：

@EnableMethodSecurity
@Configuration
public class SecurityConfig {
    // 原有对接Firebase资源服务器的配置保持不变
}

2. 自定义权限校验Bean供SpEL表达式调用：

@Component("authChecker")
public class AuthChecker {
    public boolean isResourceOwner(String resourceOwnerId) {
        String currentUid = getCurrentLoginUid(); // 逻辑和上文工具方法一致
        return currentUid.equals(resourceOwnerId);
    }
}

3. 直接在接口上加注解完成权限控制，无需编写业务校验代码：

@GetMapping("/account/{customerId}")
@PreAuthorize("@authChecker.isResourceOwner(#customerId)")
public AccountDTO getAccount(@PathVariable String customerId) {
    // 直接查询返回即可，权限校验不通过会自动返回403
}

4. 针对银行等高安全要求场景，可额外开启Postgres的行级安全策略，给账户表添加查询过滤规则，就算SQL漏写权限条件也不会查询到其他用户的数据。

前端优化建议 #

Angular端调用接口时，可直接从Firebase Auth登录信息中取当前用户UID拼接请求路径，不要给用户提供修改customerId的入口，减少非法请求触发概率。注意前端限制仅为体验优化，核心校验必须放在后端执行。

内容的提问来源于stack exchange，提问作者JustinK