如何在Grails应用中实现角色级动态权限管理（自定义授权）

我在Grails项目里折腾过类似的动态权限需求，Spring Security默认的角色控制确实太粗了，完全满足不了这种细粒度的功能级权限配置。下面是我实践下来觉得最实用的几个方案，你可以根据项目复杂度选：

这个是最直接的方式，适合中小项目。首先你需要在数据库里设计权限相关的表：

• permission：存储功能权限（比如code='REPRINT'，name='重印功能'）
• role_permission：角色和权限的关联表
• 复用Spring Security默认的user_role关联表

然后在Grails里封装一个权限检查的服务，比如：

@Service
class DynamicPermissionService {
    def springSecurityService

    boolean hasPermission(String permissionCode) {
        if (!springSecurityService.isLoggedIn()) {
            return false
        }
        def currentUser = springSecurityService.currentUser
        // 这里可以加缓存优化，避免每次查询数据库
        return currentUser.roles.collectMany { it.permissions }.any { it.code == permissionCode }
    }
}

之后在控制器方法里调用：

class DocumentController {
    def dynamicPermissionService

    def reprint() {
        if (!dynamicPermissionService.hasPermission('REPRINT')) {
            render(status: 403, text: '您没有重印功能的访问权限')
            return
        }
        // 处理重印逻辑
    }
}

前端GSP页面也可以用这个服务来控制元素显示：

<g:if test="${dynamicPermissionService.hasPermission('REPRINT')}">
    <a href="${createLink(action: 'reprint')}" class="btn btn-primary">重印文档</a>
</g:if>

管理员后台就做一个页面，让他们给角色分配对应的权限就行，很容易实现。

如果想把动态权限和Spring Security的体系深度集成，可以自定义一个AccessDecisionVoter，这样可以用Spring Security的@PreAuthorize注解来控制，或者在URL层面配置。

首先实现投票器：

class DynamicPermissionVoter implements AccessDecisionVoter<Object> {
    def dynamicPermissionService

    @Override
    int vote(Authentication authentication, Object object, Collection<ConfigAttribute> attributes) {
        if (!authentication || authentication.principal instanceof String) {
            return ACCESS_DENIED
        }
        // 从注解或配置里获取权限码
        def permissionCode = attributes.find { it.attribute.startsWith('PERM_') }?.attribute - 'PERM_'
        if (!permissionCode) {
            return ACCESS_ABSTAIN
        }
        return dynamicPermissionService.hasPermission(permissionCode) ? ACCESS_GRANTED : ACCESS_DENIED
    }

    @Override
    boolean supports(ConfigAttribute attribute) {
        return attribute.attribute.startsWith('PERM_')
    }

    @Override
    boolean supports(Class<?> clazz) {
        return true
    }
}

然后在resources.groovy里注册这个投票器：

beans = {
    dynamicPermissionVoter(DynamicPermissionVoter) {
        dynamicPermissionService = ref('dynamicPermissionService')
    }
    accessDecisionManager(org.springframework.security.access.vote.AffirmativeBased) {
        decisionVoters = [ref('roleVoter'), ref('authenticatedVoter'), ref('dynamicPermissionVoter')]
    }
}

之后就可以在控制器方法上用注解：

@PreAuthorize("hasRole('USER') and hasAuthority('PERM_REPRINT')")
def reprint() {
    // 重印逻辑
}

这个方案的好处是把动态权限融入Spring Security的安全体系，更规范，适合大型项目。

如果不想依赖Spring Security的投票器体系，也可以用Grails的AOP功能自定义注解，这样控制更灵活。

首先定义注解：

@Target([ElementType.METHOD, ElementType.TYPE])
@Retention(RetentionPolicy.RUNTIME)
@interface RequiresPermission {
    String value()
}

然后写AOP切面：

@Aspect
@Service
class PermissionAspect {
    def dynamicPermissionService
    def springSecurityService

    @Around('@annotation(requiresPermission)')
    Object checkPermission(ProceedingJoinPoint joinPoint, RequiresPermission requiresPermission) {
        String permissionCode = requiresPermission.value()
        if (!dynamicPermissionService.hasPermission(permissionCode)) {
            throw new AccessDeniedException("您没有访问[${permissionCode}]的权限")
        }
        return joinPoint.proceed()
    }
}

使用的时候直接在方法上加注解：

@RequiresPermission('REPRINT')
def reprint() {
    // 重印逻辑
}

这个方案的优点是轻量、灵活，不需要修改Spring Security的核心配置，适合快速迭代的项目。

• 如果项目小、需求简单，优先选方案1，快速落地，开发成本低；
• 如果是大型项目，想要和Spring Security深度集成，选方案2，更规范；
• 如果想灵活控制权限检查的时机和逻辑，选方案3，扩展性强。

不管选哪个，核心都是把权限配置存在数据库里，让管理员可以动态维护角色和权限的关联，然后在代码层面做权限校验。

内容的提问来源于stack exchange，提问作者Abdul