Spring Boot控制器中基于用户授权的动态字段暴露方案咨询

嘿，刚好之前做过类似的权限动态字段控制需求，给你分享几个落地性很强的方案，完美适配你说的统一服务层+多控制器自定义权限规则的场景：

方案一：基于DTO+自定义注解的字段过滤（最常用） #

这个方案的核心是把权限控制逻辑完全和服务层解耦，服务层只负责返回完整的业务数据，权限过滤交给控制器层的AOP或者消息转换器来做：

• 第一步，给DTO的字段加自定义权限注解，比如@VisibleForRoles({"ADMIN"})，标记哪些字段只能被特定角色看到
• 第二步，写一个AOP切面，在控制器方法返回结果后，根据当前登录用户的角色，把DTO中没有权限的字段置空或者直接移除；或者自定义Jackson消息转换器，在序列化JSON的时候做字段过滤
• 优势：服务层完全不用关心权限，专注业务逻辑；不同的控制器可以用不同的DTO或者不同的注解配置，实现各自的权限规则，灵活性拉满

简化版代码示例：

// 带权限注解的DTO
public class UserDTO {
    private String id;
    
    @VisibleForRoles({"ADMIN"})
    private String username;
    
    @VisibleForRoles({"ADMIN"})
    private String address;
    // getter/setter省略
}

// AOP切面示例
@Aspect
@Component
public class DtoFieldFilterAspect {
    @Around("execution(* com.yourpackage.controller.*.*(..))")
    public Object filterSensitiveFields(ProceedingJoinPoint joinPoint) throws Throwable {
        // 先让控制器方法执行，拿到完整结果
        Object result = joinPoint.proceed();
        // 获取当前用户的授权信息
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        // 这里写核心过滤逻辑：根据用户角色，移除/置空无权限的字段
        return filterFieldsByRoles(result, auth.getAuthorities());
    }
}

方案二：策略模式+自定义过滤策略 #

如果你的权限规则比较复杂，不同控制器的规则差异很大，用策略模式会更灵活：

• 先定义一个FieldFilterStrategy接口，里面有filter(Object data, Collection<? extends GrantedAuthority> roles)方法
• 然后给每个权限级别或者每个控制器的自定义规则实现对应的策略类，比如AdminUserFilter、RegularUserFilter、ShopManagerUserFilter等等
• 控制器里注入一个策略工厂，根据当前接口的需求选择对应的策略，处理服务层返回的数据

这个方案的好处是，新增授权级别只需要加新的策略类，完全不用改服务层和现有控制器的代码，扩展性超强。

简化版代码示例：

// 策略接口
public interface FieldFilterStrategy {
    Object filter(Object data, Collection<? extends GrantedAuthority> roles);
}

// 管理员策略：返回完整数据
@Component
public class AdminFilter implements FieldFilterStrategy {
    @Override
    public Object filter(Object data, Collection<? extends GrantedAuthority> roles) {
        return data;
    }
}

// 普通用户策略：隐藏敏感字段
@Component
public class RegularUserFilter implements FieldFilterStrategy {
    @Override
    public Object filter(Object data, Collection<? extends GrantedAuthority> roles) {
        User user = (User) data;
        user.setUsername(null);
        user.setAddress(null);
        return user;
    }
}

// 控制器中使用
@RestController
public class UserController {
    @Autowired
    private UserService userService;
    @Autowired
    private FieldFilterStrategyFactory strategyFactory;

    @GetMapping("/users")
    public Object getUsers() {
        List<User> users = userService.getAllUsers();
        Authentication auth = SecurityContextHolder.getContext().getAuthentication();
        // 根据当前控制器或者接口的需求，获取对应的过滤策略
        FieldFilterStrategy strategy = strategyFactory.getStrategy("user_controller_default");
        return strategy.filter(users, auth.getAuthorities());
    }
}

方案三：多视图模型（ViewModel）+对象映射 #

如果你的权限规则比较固定，每个角色对应明确的字段集合，用多视图模型的方式最直观：

• 给每个授权级别定义对应的ViewModel，比如AdminUserVM（包含所有字段）、RegularUserVM（只包含非敏感字段）
• 控制器中根据用户的角色，把服务层返回的领域对象映射到对应的ViewModel，用MapStruct或者ModelMapper来做映射，几行代码就能搞定
• 优势：逻辑清晰，一眼就能看到每个角色能拿到什么字段；服务层完全无感知，专注业务

简化版代码示例：

// 管理员视图模型
public class AdminUserVM {
    private String id;
    private String username;
    private String address;
    // 构造器、映射方法省略
}

// 普通用户视图模型
public class RegularUserVM {
    private String id;
    // 构造器、映射方法省略
}

// 控制器代码
@RestController
public class UserController {
    @Autowired
    private UserService userService;
    @Autowired
    private ModelMapper modelMapper;

    @GetMapping("/admin/users")
    @PreAuthorize("hasRole('ADMIN')")
    public List<AdminUserVM> getUsersForAdmin() {
        return userService.getAllUsers().stream()
                .map(user -> modelMapper.map(user, AdminUserVM.class))
                .collect(Collectors.toList());
    }

    @GetMapping("/users")
    @PreAuthorize("hasRole('REGULAR')")
    public List<RegularUserVM> getUsersForRegular() {
        return userService.getAllUsers().stream()
                .map(user -> modelMapper.map(user, RegularUserVM.class))
                .collect(Collectors.toList());
    }
}

针对你提到的两个核心需求，这三个方案都能完美满足：

1. 统一服务层：三个方案中服务层都只负责返回完整的业务数据，完全不涉及权限逻辑，所有控制器都可以复用同一个服务层
2. 多授权级别：方案一可以通过注解配置多个角色；方案二可以无限扩展策略类；方案三可以新增对应的ViewModel，都能轻松支持新增的授权级别

备注：内容来源于stack exchange，提问作者Morteza Jalambadani