聊聊 spring boot 后端大家如何玩权限？

[shazh520]

前后端完全分离那就 token 了，UUID 或者 jwt，这个我估计大家都这么做；

但是前端渠道既有网页、APP 又有小程序，网页使用 thymeleaf 生成；这种情况下我用 spring security 就没法儿了，如果 token 的话，thymeleaf 这边就要憋屈一点，不能用 session，不用 token 的话 APP 和小程序又不行；

嗯哼？

[shazh520]

@hantsy 大佬能不能给个 demo 学一下

[meanhow]

@shazh520 感谢回复。
接口分开应该不行，因为至少会有老板，经理，员工三层，而且接口数量也挺多的
不过我现在倒是有个想法，不知道能不能拦截所有 select，在角色表存一个数据权限的字段（个人，个人及部门），然后拦截所有 select，根据数据权限的字段在条件后面加上员工 ID

[meanhow]

@ShutTheFu2kUP 实际情况会更复杂一点，至少有员工，部门经理，老板三层。
倒是所有表都有创建人 id，可能要在查询上写上 in 条件吧

[optional]

spring security 用起来太恶心，不如自己写几个 filter

[clancyliu]

oauth2，我们用的这个，网页，小程序，安卓三端

[zhazi]

@shazh520
github.com/spring-io/sagan/blob/master/sagan-site/src/main/java/sagan/SecurityConfig.java
看下这个