集团企业的组织层级和系统权限经常被混为一谈部门树回答“用户属于哪个组织”RBAC 回答“用户能操作哪些功能”网关鉴权回答“当前请求能否访问这个接口”。织码在线教育系统采用部门树 RBAC 网关接口级校验的组合方式但它不是多租户架构也没有dataScope行级数据权限。一、先划清三个安全概念概念系统当前承担的职责不能推导出的能力部门树表达集团、分子公司、部门层级自动实现数据行级隔离RBAC用户、角色、菜单和接口权限关联自动限制某部门的数据集合网关鉴权校验会话与apis决定接口是否放行替代业务层的数据权限过滤系统没有tenant_id、TenantContext、独立 schema也没有角色dataScope字段。因此“多组织”在当前实现中主要是管理职责和组织筛选层面的划分不能包装成租户级数据隔离。二、RBAC 数据模型菜单表同时承载展示和接口权限核心关系为Users - SysRole - SysMenu中间通过SysRoleUser和SysMenuRole连接。SysMenu.menuType区分目录、菜单和按钮path/component服务前端路由permission和apis分别服务前端和网关。CREATETABLEsys_menu_role(role_idbigintNOTNULL,menu_idbigintNOTNULL,UNIQUEKEYuk_role_menu(role_id,menu_id));CREATETABLEsys_role_user(role_idbigintNOTNULL,user_idbigintNOTNULL,UNIQUEKEYuk_role_user(role_id,user_id));关联表的唯一约束可以防止重复授权但角色、菜单和用户状态仍需在查询权限时过滤。禁用角色或菜单后不能继续把其apis装配到在线用户的权限清单中。三、权限装配登录时生成后端放行清单登录流程可以抽象为查询用户角色、展开角色菜单、拆分菜单上的接口串、去重规范化、写入 Redis并将前端permission返回给登录响应。权限清单的 key 使用用户维度例如base:admin:apis:{userId}。ListStringnormalizedApismenuList.stream().map(SysMenu::getApis).filter(StringUtils::isNotBlank).flatMap(raw-Arrays.stream(raw.split(SEPARATOR))).map(this::normalizeApi).distinct().toList();permissionCache.replace(userId,normalizedApis);规范化 URI 时需要统一前导斜杠、大小写策略和查询参数处理避免同一个接口因格式差异产生错误匹配。对于正则权限表达式要限制表达式来源和匹配范围防止过宽规则意外放行。四、网关校验会话、路径白名单和接口匹配SysGlobalFilter的请求处理顺序建议保持稳定先判断免鉴权路径再校验 token 会话获取用户apis最后按 HTTP method 规范化 URI 进行匹配。仅使用 URI 前缀判断权限容易造成/admin/user与/admin/user/export的越权边界模糊。if(isPublicPath(exchange.getRequest().getPath())){returnchain.filter(exchange);}AuthContextauthauthService.authenticate(token);ListApiPermissionpermissionspermissionService.getCached(auth.userId());permissionService.assertAllowed(request.getMethod(),normalizedUri,permissions);/api、/callback、/v3等免鉴权路径应使用显式白名单。支付或第三方回调即使不要求登录也需要验签、时间戳、nonce 或业务流水号不能因为“免登录”就跳过来源校验。五、二级缓存与权限变更一致性网关使用 Caffeine 本地缓存和 Redis 二级缓存本地缓存减少网络访问Redis 作为跨节点共享的权限结果。权限变更时应按“更新数据库 - 重算用户权限 - 更新 Redis - 发布本地失效事件”的顺序处理。如果只刷新 Redis 而不清理网关本地缓存旧权限会在本地 TTL 内继续生效如果先清缓存再更新数据库短暂并发请求可能读到旧数据重新回填。因此权限刷新需要有版本号或事件序列避免旧结果覆盖新结果。六、部门树与真实隔离边界SysDept.parentId parentIds表达任意层级的组织树SysDeptUser支持用户与部门多对多关系contactPlatform可承载自建、钉钉或企业微信来源。培训任务的belongDeptId和assignDept可以帮助管理员按组织配置和分发任务。但部门归属不会自动变成数据库过滤条件。若业务需要“只能查询本部门数据”必须在业务查询层增加部门条件、数据范围策略和越权测试当前代码没有统一的dataScope或租户上下文不能将现有实现说成行级隔离。七、安全审计与测试重点权限系统至少应记录角色授权、菜单变更、用户角色变化、权限刷新、网关拒绝和免鉴权回调失败等事件。测试应覆盖无 token、过期 token、无apis、正则边界、权限刚撤销后的请求、禁用角色、部门调整后的任务查询以及公共接口的重放请求。八、总结织码在线教育系统以 RBAC 控制功能权限以permission/apis双键连接前端与网关以 Caffeine Redis 提升鉴权性能以部门树承载集团组织结构。它的安全边界是接口访问控制不是多租户 schema 或行级数据权限。把现有能力边界讲清楚既能支撑集团培训场景的职责划分也为后续独立引入租户上下文、数据范围策略和细粒度策略引擎留下清晰演进空间。如需私有化部署报价、远程产品演示可访问官网 https://www.weavecodes.com/ 私信作者领取企业落地案例。