Ruoyi-Vue 用户菜单权限机制详解：从 RBAC 到接口级控制

Ruoyi-Vue（若依管理系统）是一个基于 Spring Boot + Vue 的前后端分离框架，广泛用于企业级应用开发。其权限控制系统以 RBAC（Role-Based Access Control） 为核心，结合前端动态渲染与后端接口校验，实现了“菜单显隐 + 接口拦截”的双重安全防护。

1.2为什么要进行权限控制？

安全性：防止未授权用户访问敏感功能（如删除数据、修改配置）
灵活性：支持动态角色分配与权限变更（无需重启服务）
数据隔离：不同用户只能查看/操作其权限范围内的数据（如部门经理仅查看本部门数据）

二.前端权限控制：动态菜单与按钮显隐

2.1 动态菜单加载逻辑

用户登录后，前端通过 GET /getInfo 接口获取权限菜单，并动态生成路由：

2.2 按钮级权限控制

通过 Vue 自定义指令 v-hasPermi 控制按钮显隐：

三、后端权限验证：Spring Security 与接口注解

3.1 Spring Security 认证流程

1. 请求拦截与凭证封装

用户提交登录表单（UsernamePasswordAuthenticationFilter作为 Spring Security 过滤器链中的关键组件，负责拦截并处理认证请求，提取并封装凭证：

   public Authentication attemptAuthentication(HttpServletRequest request, HttpServletResponse response) throws AuthenticationException {
        if (this.postOnly && !request.getMethod().equals("POST")) {
            throw new AuthenticationServiceException("Authentication method not supported: " + request.getMethod());
        } else {
            String username = this.obtainUsername(request);
            username = username != null ? username.trim() : "";
            String password = this.obtainPassword(request);
            password = password != null ? password : "";
            UsernamePasswordAuthenticationToken authRequest = UsernamePasswordAuthenticationToken.unauthenticated(username, password);
            this.setDetails(request, authRequest);
            return this.getAuthenticationManager().authenticate(authRequest);
        }
    }