Agent权限机制的理解
1、基于RBAC + OAuth2 + JWT的认证、权限机制
2、在请求agent之前进行权限校验，使用preauthorize注解
3、将用户的权限信息，存起来，比如：ThreadLocal里获取其它里面
4、在请求tool的时候，进行权限认证。
5、如果是mcp请求，则请求体里带上凭证。
AI调整：
1、基于 Spring Security + OAuth2 + JWT + RBAC 构建统一认证授权体系。
2、用户请求 Agent 时，通过 @PreAuthorize 或 Spring Security Filter 校验是否具有调用 Agent 的权限（如 agent.chat）。
3、认证通过后，由 Agent Runtime 构建 AgentContext（包含 userId、role、scope、tenant 等身份信息），同步场景下可存放于 ThreadLocal，也可作为调用上下文进行传递。
4、当 LLM 决定调用 Tool 时，不直接执行 Tool，而是统一经过 ToolDispatcher，先调用 PermissionService 校验当前用户是否具有该 Tool 的调用权限（如 mail.send、erp.query）。
5、权限校验通过后，由 CredentialService 获取目标 Tool 所需的访问凭证（OAuth2 Access Token、API Key、IAM 临时凭证等），再由 MCP Client 或 Tool Client 将凭证放入 HTTP Header（推荐）或 MCP Identity Context 中，调用对应的 MCP Server 或第三方服务。
相关文章
-
Mybatis DataPermissionInterceptor实现数据权限详解
面试中如果能够讲清楚Interceptor拦截原理、BoundSql修改流程、JSqlParser解析机制以及Mybatis-Plus DataPermissionInterceptor实现原理，基本可以覆盖绝大多数中高级Java岗位的数据权限相关问题。
NEW个对象 2026-06-14
-
redis分布式锁如果redis挂掉了，怎么办？
redis暂时没有很好的解决方案，可以红锁来解决，但是红锁的建设成本太高。 红锁其实就是，配置多个redis mater环境，比如有5个，如果从3个redis mater里获取到了锁，则算成功。
NEW个对象 2026-07-06
-
Agent权限机制的理解
1、基于RBAC + OAuth2 + JWT的认证、权限机制 2、在请求agent之前进行权限校验，使用preauthorize注解 3、将用户的权限信息，存起来，比如：ThreadLocal里获取其它里面 4、在请求tool的时候，进行权限认证。 5、如果是mcp请求，则请求体里带上凭证。
NEW个对象 2026-06-30
