石家庄市公安局局长代码跑不通?3个高频面试题救急

复制来的代码一跑就报错，盯着满屏红字脑子嗡嗡响，这种绝望感谁懂？别急着删库跑路，这往往是调试基本功缺失的信号。今天咱不聊虚的，直接拿石家庄市公安局局长这个看似离谱的搜索词当例子，拆解后端权限系统里最容易踩坑的源码逻辑。你会发现，很多高频面试题问的“如何设计细粒度权限”，在你手边那个跑不通的Demo里就有原型。

入口定位：从URL到Controller的迷失

很多新手拿到一个Spring Boot项目，main函数一敲就停，根本不知道请求是怎么进去的。咱们假设有个内部系统，URL是/api/police/bureau/chief/info，你要查这个“局长”的数据。

很多教程会教你直接找@RequestMapping，但实际项目里，这玩意儿经常分散在不同包里。真正的入口，得从DispatcherServlet开始看。它是Spring MVC的心脏，所有HTTP请求都先经过它。

这里有个常见的坑：很多人以为找到Controller就万事大吉，结果发现权限拦截器在Controller之前就拦住了你。这就是为什么你代码“看起来”对，但运行起来就是403 Forbidden。

在CSDN搜过相关源码分析的读者都知道，Spring Security的过滤器链才是第一道关卡。如果你连这个都没理清，后面调什么业务逻辑都是白搭。所以第一步，别盯着业务代码，先盯着WebSecurityConfigurerAdapter（或者新的SecurityFilterChain Bean）看。

核心片段：权限校验的“黑盒”拆解

来看一段典型的权限校验代码，这是从某公安内网系统脱敏后提取的核心逻辑。别被那些类名吓到，其实核心就三层：用户认证、角色匹配、资源鉴权。

// 这是简化版的权限校验核心逻辑，位于 SecurityContextInterceptor.java
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {// 1. 从 ThreadLocal 中获取当前登录用户信息，这是性能优化的关键AuthUser currentUser = SecurityContextHolder.getContext().getAuthentication().getPrincipal();if (currentUser == null) {// 未登录直接放行，让后续的认证过滤器处理，避免重复判断return true;}// 2. 解析当前请求所需的权限标识，通常从注解或URL配置中获取String requiredPermission = extractPermissionFromRequest(request);if (requiredPermission == null || requiredPermission.isEmpty()) {// 无权限要求的公开接口，直接放行return true;}// 3. 核心比对逻辑：判断用户持有的权限集合是否包含所需权限// 这里用了 HashSet 而不是 List，O(1) vs O(n)，在大权限量级下差距巨大Set<String> userPermissions = currentUser.getPermissionSet();boolean hasPermission = userPermissions.contains(requiredPermission);if (!hasPermission) {// 4. 鉴权失败，抛出特定异常，由全局异常处理器统一转换为 403 JSON 响应// 注意：不要在这里直接 write JSON，保持职责单一throw new AccessDeniedException("User " + currentUser.getUsername() + " lacks permission: " + requiredPermission);}return true;
}

逐行拆解一下： 第1-4行：SecurityContextHolder 是基于 ThreadLocal 的。这点很重要，因为Web容器是线程池模型，每个请求由不同线程处理。用 ThreadLocal 存用户信息，避免了在方法间层层传递 User 对象，这是Java Web开发的经典套路。 第6-9行：extractPermissionFromRequest 是个抽象方法，不同系统实现不同。有的从URL映射表查，有的从@PreAuthorize注解取。这里没写死，是为了扩展性。 第12-14行：为什么用 Set？因为权限检查是高频操作，每次HTTP请求都要走一遍。List.contains() 是线性扫描，权限多时性能会崩。HashSet 是哈希查找，基本是常数时间。这是高频面试题里常考的“数据结构选型”考点。 第17-19行：抛异常而不是直接返回 false。为什么？因为如果直接返回 false，Controller层可能不知道是权限问题还是其他问题，导致日志记录混乱、前端提示不明确。抛出特定异常，可以在 @ControllerAdvice 里统一捕获，返回标准的错误码和消息。

设计思想：为什么这么写？

很多人问，为什么不直接在Controller里加个 if (user.getRole() == "CHIEF") 就行？

因为业务会变。今天查“石家庄市公安局局长”需要 police:chief:read 权限，明天可能要细分成 police:chief:basic 和 police:chief:contact。如果硬编码在Controller里，每改一次权限都要改N个Controller，代码会腐烂得很快。

这就是关注点分离原则。权限校验是横切关注点（Cross-Cutting Concern），和业务逻辑（查数据库、组装DTO）是两码事。用拦截器或AOP把它抽出来，Controller只管业务，拦截器只管安全。

还有个细节：ThreadLocal 的内存泄漏风险。如果开发者忘记在请求结束时清理 SecurityContextHolder，在线程池复用线程的场景下，上一个用户的敏感信息可能泄露给下一个用户。所以，正规项目里，Filter 的 finally 块里必须有 SecurityContextHolder.clearContext()。这个坑，我在CSDN看过太多人踩了，尤其是用自定义线程池处理异步任务时。

手写简化版：30行代码搞懂权限

别被上面那套吓到，咱们手写一个最简版本，把核心逻辑跑通。假设你要查“局长”信息，只有 ROLE_CHIEF 角色能看。

// SimplePermissionFilter.java
public class SimplePermissionFilter extends OncePerRequestFilter {// 简单的权限映射表，实际项目里应该是从数据库或Redis加载private static final Map<String, String> URL_PERMISSION_MAP = new HashMap<>();static {// 模拟配置：查局长信息需要 chief:read 权限URL_PERMISSION_MAP.put("/api/police/bureau/chief/info", "chief:read");}@Overrideprotected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain filterChain) throws ServletException, IOException {String uri = request.getRequestURI();String requiredPerm = URL_PERMISSION_MAP.get(uri);// 如果URL没有配置权限要求，直接放行if (requiredPerm == null) {filterChain.doFilter(request, response);return;}// 从 Session 或 Token 中解析用户（这里简化为从 Header 取）String token = request.getHeader("Authorization");Set<String> userPerms = parsePermissionsFromToken(token); // 模拟解析if (!userPerms.contains(requiredPerm)) {// 返回 403response.setStatus(HttpServletResponse.SC_FORBIDDEN);response.setContentType("application/json;charset=UTF-8");response.getWriter().write("{\"code\":403,\"msg\":\"无权限访问石家庄市公安局局长数据\"}");return;}// 放行filterChain.doFilter(request, response);}private Set<String> parsePermissionsFromToken(String token) {// 实际场景：查JWT或Sessionreturn Set.of("chief:read", "police:officer:list");}
}

这段代码虽然简陋，但包含了权限系统的所有骨架：URL匹配 → 权限提取 → 用户权限比对 → 放行/拦截。你可以拿这个当基础，往里面加Redis缓存权限、加注解驱动、加动态数据权限（比如只能看自己辖区的数据）。

应用场景：从代码到业务的落地

回到“石家庄市公安局局长”这个场景。在实际的公安信息化项目里，这种权限控制往往还叠加了数据权限。

比如，省厅的局长能看到全省数据，市局局长只能看到本市，区局只能看到本区。这时候，光有 chief:read 权限还不够，还得在SQL层面动态拼接 WHERE city_id = #{currentCityId}。

这就是MyBatis拦截器的用武之地。在SQL执行前，拦截器会解析当前用户的 cityId，然后动态修改SQL的Where条件。这套组合拳：Shiro/Spring Security 管功能权限 + MyBatis 拦截器管数据权限，是国内后端系统的标准架构。

很多高频面试题问“如何实现数据权限”，其实就是考这个MyBatis拦截器的实现细节。如果你能讲清楚 Executor.update 和 Executor.query 怎么拦截，怎么解析 MappedStatement，怎么动态改 BoundSql，面试官基本就认可你的深度了。

最后提醒一句，调试这类问题，别光看代码。打开浏览器F12，看Network面板，看请求头里有没有带上Token，看响应头里有没有CORS错误。很多时候，代码没bug，是环境配置或前端请求姿势不对。

你公司项目里是怎么处理这种细粒度权限的？是用注解硬写，还是搞了个独立的权限中心？欢迎评论交流。