最近在梳理航空安检业务系统时经常被问到“安检流程怎么实现留痕”“人员权限怎么隔离”这类问题。结合机场安检管理系统开发中的真实经验本文整理一份从零搭建的实战教程覆盖权限隔离、审计日志、敏感操作回溯三个核心模块。这套方案不只适用于航空安检场景凡是要求操作可追溯、权限可管控的后台管理系统都可以直接复用。1. 背景与核心概念1.1 安检管理系统是什么机场安检管理系统是航空安保体系中负责旅客、行李、工作人员安全检查的信息化平台。它并不仅指“看屏幕识别违禁品”那一套安检机系统而是覆盖安检全流程的业务管理平台旅客安检通道的排班与调度。安检设备的运行状态监控。安检人员安检员、开包员、值班领导的岗位与权限分配。开包检查、异常处置、移交公安等业务的登记与流转。所有安检操作的日志记录与事后追溯。从技术角度看它是一个典型的“高权限、强审计、多角色”的企业级后台系统。你可以把它理解成一个带着严格安全要求的业务管理系统只是业务场景换成了航空安保。1.2 “记录保密”与“操作留痕”的关系航空安检系统里有一类很敏感的需求系统内部有些配置信息、应急处置预案、重点人员名单、特殊勤务安排并不向所有安检员开放。这就涉及两个概念权限隔离不同角色只能看到自己职责范围内的数据。操作留痕任何对敏感数据的访问、修改、导出都必须记录在案便于事后审计。在合规层面这类系统通常要求“最小权限原则”和“全程审计原则”。通俗地说每个人只给够用的权限且每次敏感操作都能查到是谁、什么时间、做了什么。1.3 为什么开发者需要掌握这套设计很多开发者在做普通后台系统时权限模型往往只是“用户-角色-菜单”三级就完事了。但在航空、医疗、金融这类强监管领域这套基础模型远远不够你还需要数据权限同样是安检员A 通道的人不能查 B 通道的台账。操作审计查看旅客信息、修改安检结果、导出敏感报表全都要有日志。配置保护系统私有化部署时的关键配置项不能由普通运维随意修改。这套设计思想具有极强的通用性。如果面试时能讲清楚“如何设计一个可回溯的安检操作日志系统”会比单纯说“我会用 Spring Boot 写 CRUD”更有说服力。2. 环境准备与版本说明本文以一个可运行的模拟项目为例。为便于演示不引入真实机场安检设备接口而是模拟安检业务中的核心操作安检员登录、提交安检结果、查看敏感记录、导出报表。2.1 开发环境组件说明JDK示例使用 JDK 17实际项目按团队规范选择 8 或 11 均可Spring Boot2.7.x 系列稳定版本MyBatis-Plus3.5.x用于数据操作H2 Database内存数据库便于本地快速运行生产可替换为 MySQL/OracleMaven3.6用于构建Lombok简化实体代码版本需要根据你的项目实际情况调整本文示例以常见环境为例重点演示配置思路。2.2 示例项目结构airport-security/ ├── pom.xml ├── src/main/java/com/example/security/ │ ├── SecurityApplication.java │ ├── common/ │ │ ├── Result.java │ │ └── AuditLogAspect.java │ ├── config/ │ │ └── SecurityConfig.java │ ├── controller/ │ │ ├── AuthController.java │ │ ├── InspectionController.java │ │ └── SensitiveDataController.java │ ├── entity/ │ │ ├── User.java │ │ ├── InspectionRecord.java │ │ └── AuditLog.java │ ├── mapper/ │ │ ├── UserMapper.java │ │ ├── InspectionRecordMapper.java │ │ └── AuditLogMapper.java │ ├── service/ │ │ ├── InspectionService.java │ │ └── AuditLogService.java │ └── util/ │ └── UserContext.java └── src/main/resources/ ├── application.yml └── schema.sql2.3 初始化数据脚本-- 文件路径src/main/resources/schema.sql CREATE TABLE t_user ( id BIGINT PRIMARY KEY, username VARCHAR(50) NOT NULL, password VARCHAR(100) NOT NULL, role VARCHAR(20) NOT NULL, channel_code VARCHAR(20) ); CREATE TABLE t_inspection_record ( id BIGINT PRIMARY KEY, passenger_name VARCHAR(50) NOT NULL, id_card VARCHAR(30), flight_no VARCHAR(20), result VARCHAR(10), inspector VARCHAR(50), channel_code VARCHAR(20), create_time TIMESTAMP ); CREATE TABLE t_audit_log ( id BIGINT PRIMARY KEY, username VARCHAR(50), action VARCHAR(100), target VARCHAR(200), detail VARCHAR(500), ip VARCHAR(50), create_time TIMESTAMP ); INSERT INTO t_user VALUES (1, admin, 123456, ADMIN, NULL); INSERT INTO t_user VALUES (2, inspector01, 123456, INSPECTOR, A01); INSERT INTO t_user VALUES (3, inspector02, 123456, INSPECTOR, A02); INSERT INTO t_user VALUES (4, leader, 123456, LEADER, NULL);这里故意使用明文密码仅为演示方便真实项目中必须使用 BCrypt 等方式加密存储后面最佳实践部分会展开说明。3. 核心配置与原理拆解3.1 为什么需要自定义权限拦截Spring Boot 项目做登录拦截简单方案是使用 Spring Security但生产级安检系统往往还要叠加数据权限、操作审计等需求。完全从零手写又容易漏掉安全细节。更稳妥的路径是用拦截器解决“用户是否登录”的问题。用线程变量保存当前登录用户。用 AOP 切面统一记录敏感操作日志。这样做的好处是职责清晰登录状态控制和业务日志解耦。3.2 登录拦截器// 文件路径src/main/java/com/example/security/config/LoginInterceptor.java public class LoginInterceptor implements HandlerInterceptor { Override public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception { String token request.getHeader(X-Token); if (token null || token.isEmpty()) { response.setStatus(401); response.setContentType(application/json;charsetUTF-8); response.getWriter().write({\code\:401,\message\:\未登录或登录已过期\}); return false; } User user UserContext.getUser(token); if (user null) { response.setStatus(401); response.getWriter().write({\code\:401,\message\:\用户不存在\}); return false; } UserContext.setCurrentUser(user); return true; } Override public void afterCompletion(HttpServletRequest request, HttpServletResponse response, Object handler, Exception ex) { UserContext.clear(); } }关键点在于 preHandle 校验通过后把用户信息放入 ThreadLocal请求结束后在 afterCompletion 中清理避免线程池复用导致的数据污染。3.3 用户上下文 ThreadLocal// 文件路径src/main/java/com/example/security/util/UserContext.java public class UserContext { private static final ThreadLocalUser CURRENT_USER new ThreadLocal(); public static void setCurrentUser(User user) { CURRENT_USER.set(user); } public static User getCurrentUser() { return CURRENT_USER.get(); } public static User getUser(String token) { // 简化演示实际应从 Redis 或 Token 解析 if (token-001.equals(token)) { User user new User(); user.setId(1L); user.setUsername(admin); user.setRole(ADMIN); return user; } return null; } public static void clear() { CURRENT_USER.remove(); } }实际项目中token 应由登录接口颁发并存储到 Redis拦截器通过 token 查询用户信息。这里为了跑通流程做了固定 token 的简化处理。3.4 数据权限过滤安检员登录后只能看到自己所在安检通道channelCode的记录。实现方式是在 SQL 层追加权限条件// 文件路径src/main/java/com/example/security/service/InspectionService.java Service public class InspectionService { Resource private InspectionRecordMapper inspectionRecordMapper; public ListInspectionRecord listMyRecords() { User user UserContext.getCurrentUser(); // Admin/Leader 不限制通道普通安检员只查本通道 if (ADMIN.equals(user.getRole()) || LEADER.equals(user.getRole())) { return inspectionRecordMapper.selectList(null); } LambdaQueryWrapperInspectionRecord wrapper new LambdaQueryWrapper(); wrapper.eq(InspectionRecord::getChannelCode, user.getChannelCode()); return inspectionRecordMapper.selectList(wrapper); } }不要试图在内存中过滤全表数据数据量大时性能会迅速恶化。正确的做法是在 SQL 层做数据权限过滤这也是数据库索引能发挥作用的前提。4. 完整实战案例安检记录管理与敏感操作审计接下来从零完成一个可运行的安检记录管理功能并加上敏感操作审计。4.1 创建 Spring Boot 项目在 pom.xml 中引入依赖!-- 文件路径pom.xml -- parent groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-parent/artifactId version2.7.18/version /parent dependencies dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId /dependency dependency groupIdcom.baomidou/groupId artifactIdmybatis-plus-boot-starter/artifactId version3.5.3/version /dependency dependency groupIdcom.h2database/groupId artifactIdh2/artifactId scoperuntime/scope /dependency dependency groupIdorg.projectlombok/groupId artifactIdlombok/artifactId optionaltrue/optional /dependency dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-aop/artifactId /dependency /dependencies4.2 配置文件# 文件路径src/main/resources/application.yml server: port: 8080 spring: datasource: driver-class-name: org.h2.Driver url: jdbc:h2:mem:securitydb;MODEMySQL;DB_CLOSE_DELAY-1 username: sa password: sql: init: schema-locations: classpath:schema.sql mode: always mybatis-plus: configuration: map-underscore-to-camel-case: true global-config: db-config: id-type: auto这里使用 H2 内存数据库是为了方便本地运行切到 MySQL 时只需要替换驱动和 url并将 schema.sql 中的建表语句改为 MySQL 语法。4.3 实体类// 文件路径src/main/java/com/example/security/entity/User.java Data TableName(t_user) public class User { TableId(type IdType.AUTO) private Long id; private String username; private String password; private String role; private String channelCode; }// 文件路径src/main/java/com/example/security/entity/InspectionRecord.java Data TableName(t_inspection_record) public class InspectionRecord { TableId(type IdType.AUTO) private Long id; private String passengerName; private String idCard; private String flightNo; private String result; private String inspector; private String channelCode; private LocalDateTime createTime; }// 文件路径src/main/java/com/example/security/entity/AuditLog.java Data TableName(t_audit_log) public class AuditLog { TableId(type IdType.AUTO) private Long id; private String username; private String action; private String target; private String detail; private String ip; private LocalDateTime createTime; }4.4 登记安检结果// 文件路径src/main/java/com/example/security/controller/InspectionController.java RestController RequestMapping(/api/inspection) public class InspectionController { Resource private InspectionService inspectionService; PostMapping(/add) public Result add(RequestBody InspectionRecord record) { User user UserContext.getCurrentUser(); record.setInspector(user.getUsername()); record.setChannelCode(user.getChannelCode()); record.setCreateTime(LocalDateTime.now()); inspectionService.save(record); return Result.success(登记成功); } GetMapping(/list) public Result list() { return Result.success(inspectionService.listMyRecords()); } }这里有个容易忽略的细节登记时后台直接使用登录用户的信息作为记录归属而不是信任前端传过来的值。这是防止越权写入的基础做法。4.5 敏感操作审计切面对设计到敏感数据的访问和修改操作我们通过自定义注解加 AOP 切面统一记录日志。// 文件路径src/main/java/com/example/security/common/AuditLogAspect.java Aspect Component public class AuditLogAspect { Resource private AuditLogMapper auditLogMapper; Around(annotation(audit)) public Object around(ProceedingJoinPoint joinPoint, Audit audit) throws Throwable { long start System.currentTimeMillis(); Object result joinPoint.proceed(); long end System.currentTimeMillis(); User currentUser UserContext.getCurrentUser(); AuditLog log new AuditLog(); log.setUsername(currentUser ! null ? currentUser.getUsername() : anonymous); log.setAction(audit.action()); log.setTarget(audit.target()); log.setDetail(String.format(方法: %s, 耗时: %dms, joinPoint.getSignature().toShortString(), end - start)); log.setCreateTime(LocalDateTime.now()); auditLogMapper.insert(log); return result; } }// 文件路径src/main/java/com/example/security/common/Audit.java Target(ElementType.METHOD) Retention(RetentionPolicy.RUNTIME) public interface Audit { String action() default ; String target() default ; }4.6 查看敏感记录模拟一个查看重点旅客记录的接口此接口标记为敏感操作// 文件路径src/main/java/com/example/security/controller/SensitiveDataController.java RestController RequestMapping(/api/sensitive) public class SensitiveDataController { Resource private InspectionRecordMapper inspectionRecordMapper; Audit(action QUERY_SENSITIVE_PASSENGER, target 重点旅客信息) GetMapping(/passenger/{id}) public Result queryPassenger(PathVariable Long id) { InspectionRecord record inspectionRecordMapper.selectById(id); if (record null) { return Result.error(记录不存在); } // 实际项目这里还要做数据脱敏如身份证号只显示前3位和后4位 return Result.success(record); } }4.7 注册拦截器// 文件路径src/main/java/com/example/security/config/WebConfig.java Configuration public class WebConfig implements WebMvcConfigurer { Override public void addInterceptors(InterceptorRegistry registry) { registry.addInterceptor(new LoginInterceptor()) .addPathPatterns(/api/**) .excludePathPatterns(/api/auth/login); } }4.8 登录接口// 文件路径src/main/java/com/example/security/controller/AuthController.java RestController RequestMapping(/api/auth) public class AuthController { PostMapping(/login) public Result login(RequestBody LoginRequest request) { // 简化演示账号密码匹配即返回固定 token if (admin.equals(request.getUsername()) 123456.equals(request.getPassword())) { return Result.success(token-001); } return Result.error(用户名或密码错误); } }// 文件路径src/main/java/com/example/security/controller/LoginRequest.java Data public class LoginRequest { private String username; private String password; }4.9 运行与验证启动 Spring Boot 项目后按以下顺序用 curl 或 Postman 验证# 1. 登录 curl -X POST http://localhost:8080/api/auth/login \ -H Content-Type: application/json \ -d {username:admin,password:123456} # 2. 带 token 查询重点旅客信息 curl -X GET http://localhost:8080/api/sensitive/passenger/1 \ -H X-Token: token-001预期输出{code:200,message:success,data:{id:1,passengerName:张三,idCard:110101199003074512,flightNo:CA1234,result:PASS,inspector:inspector01,channelCode:A01}}此时查询 t_audit_log 表可以看到一条审计记录usernameactiontargetdetailcreate_timeadminQUERY_SENSITIVE_PASSENGER重点旅客信息方法: SensitiveDataController.queryPassenger(..), 耗时: 3ms2025-01-01 10:00:00这说明敏感操作已经被完整记录实现了一旦需要回溯可以准确还原“谁在这个时间点看了什么数据”的目标。5. 常见问题与排查思路5.1 审计日志没有写入问题现象常见原因解决思路调用敏感接口后 t_audit_log 无新增数据AOP 切面未生效检查是否引入了 spring-boot-starter-aop 依赖且启动类或配置类有 EnableAspectJAutoProxyAOP 生效但日志表没有记录UserContext.getCurrentUser() 为 null检查拦截器是否配置了 exclude 路径导致请求未经过登录校验方法内部自调用导致切面失效同一个类中方法调用不经过代理将目标方法拆分到独立的 Service 类中由外部调用5.2 ThreadLocal 数据串号问题现象常见原因解决思路高并发下用户 A 查到了用户 B 的数据请求结束后 ThreadLocal 没有清理在拦截器 afterCompletion 中调用 UserContext.clear()异步线程拿不到当前登录用户子线程无法继承父线程 ThreadLocal将用户信息作为参数显式传递不依赖上下文透传5.3 数据权限漏配问题现象常见原因解决思路安检员能查到其他通道的旅客记录数据权限只在 Service 层做了一层过滤其它接口没加统一封装数据权限查询基类所有查询都走同一套过滤逻辑前端隐藏了入口但后端接口仍能访问只做了界面权限没有做接口级权限后端接口必须再次校验角色和通道权限不能只依赖前端控制6. 最佳实践与工程建议6.1 权限模型不要只做两级很多项目把用户权限简化为“登录就能访问”这在安检系统里是致命的。建议按四级模型设计功能权限这个角色能不能点某个菜单决定哪些接口可访问。数据权限同一类数据不同角色能看哪些范围本通道、本航站楼、全部。操作权限查看、新增、修改、删除、导出要独立控制。记录权限哪些人能查看审计日志本身通常只有安全管理员可看。6.2 密码安全示例中使用明文密码只是为了跑通流程。真实系统必须// 引入 spring-security-crypto 后 PasswordEncoder encoder new BCryptPasswordEncoder(); String encoded encoder.encode(rawPassword);密码错误时建议统一返回“用户名或密码错误”不要区分“用户名不存在”和“密码错误”避免攻击者通过接口枚举用户名。6.3 审计日志要防篡改普通业务表可以任意 update 和 delete审计日志表必须做特殊处理应用层禁止提供审计日志的修改和删除接口。数据库账号对 t_audit_log 只授予 INSERT 和 SELECT 权限不授予 UPDATE 和 DELETE。敏感系统可以定期将审计日志导出到独立存储并做哈希链式校验防止内部人员篡改。6.4 数据脱敏查看旅客信息时身份证、手机号不应全量展示。一个简单的脱敏工具public class DesensitizeUtil { public static String idCard(String idCard) { if (idCard null || idCard.length() 8) { return idCard; } return idCard.substring(0, 3) ******** idCard.substring(idCard.length() - 4); } }6.5 生产环境配置注意配置中心建议引入 Apollo 或 Nacos 统一管理多环境配置密钥不要放在 git 仓库更不能提交到公开仓库。最小权限数据库连接账号只授予业务所需的最小权限严禁使用 root 账号。灰度发布涉及安全策略变更时先在一个通道验证再逐步放开。备份回滚所有涉及配置修改、表结构变更的操作先在测试环境验证并提前准备回滚脚本。6.6 日志记录要结构化审计日志不要只存一个模糊的 text 字段。尽量拆成独立字段方便后续检索分析字段示例值说明id10001主键usernameinspector01操作人actionQUERY_SENSITIVE_PASSENGER动作类型target重点旅客信息操作对象描述detail详情 JSON扩展信息可存请求参数或响应摘要ip10.10.1.5来源 IPcreate_time2025-01-01 10:00:00操作时间7. 总结与学习路线本文从机场安检管理系统的实际场景出发梳理了隐私记录保护与操作审计的完整实现路径环境搭建、用户权限隔离、数据权限过滤、拦截器登录校验、AOP 审计切面、运行验证。这套思路不局限于航空安检凡是要求“越权可拦截、操作可追溯”的业务系统比如医院病历系统、银行柜面系统、政务审批平台都可以作为参考。接下来你可以继续深入引入 Spring Security JWT替换手写拦截器方案。将审计日志接入消息队列异步写入独立的日志库。使用 Redis 记录在线会话支持多端登录控制和强制下线。增加仪表盘可视化展示各通道安检量和异常事件分布。实际项目中建议优先把权限边界和日志完整性做好再考虑功能迭代。如果本文对你有帮助可以收藏备用后续在真实项目中遇到类似需求时直接对照这套设计排查问题。