对于第一级角色，这只是传统的RBAC：角色与用户的关联以及基于该角色的访问控制。Auth0支持角色，Spring安全性也是如此（他们称之为GrantedAuthority）。您所要做的就是提供一个Converter<Jwt, ? extends Collection<? extends GrantedAuthority>>并在Converter<Jwt, JwtAuthenticationToken>中使用它。就像这样：

static class AuthoritiesConverter implements Converter<Jwt, List<SimpleGrantedAuthority>> {
    @Override
    public List<SimpleGrantedAuthority> convert(Jwt source) {
        final List<String> auth0Roles = (List<String>) source.getClaims().getOrDefault("roles", List.of());
        return auth0Roles.stream().map(SimpleGrantedAuthority::new).toList();
    }
}

@Bean
SecurityFilterChain filterChain(
        HttpSecurity http,
        Converter<Jwt, ? extends Collection<? extends GrantedAuthority>> authoritiesConverter) throws Exception {
    http.oauth2ResourceServer(oauth2 -> 
        oauth2.jwt(jwtResourceServer -> 
            jwtResourceServer.jwtAuthenticationConverter(jwt -> 
                new JwtAuthenticationToken(
                        jwt,
                        authoritiesConverter.convert(jwt),
                        jwt.getClaimAsString(StandardClaimNames.SUB)))));

    ...

    return http.build();
}

字符串
对于第二和第三级别，我看到两个选项，这取决于用户和D1或D2之间的基数：

• 如果用户可以链接到的实体数量适合JWT（JWT的大小不受限制，但它在HTTP头中传输，大多数服务器将头的限制设置为大约8kb），我会：
• 使用给定用户可以访问的D1和D2的列表公开REST端点
• 编写Auth0操作以在用户登录时调用此端点
• 将结果作为私有声明添加到访问令牌
• 定义一个我自己的Authentication（而不是JwtAuthenticationToken，使用AbstractAuthenticationToken作为基类），其中包含隐藏私有声明访问细节的方法，并使SpEL语法更轻。
• 如果基数太高，那么我将公开一个授权服务，它将Authentication示例和D1或D2标识符作为参数，并返回一个布尔值进行访问。由于您可以在SpEL中引用bean，因此调用这样的服务非常简单。

在任何情况下，SpEL中的authentication“魔术”变量以及对@PathVariable的引用在编写@PreAuthorize表达式时都会有很大的帮助。
在JWT中使用私有声明的解决方案有一个很大的优势：每次令牌发布仅发生一次数据库访问以获得用户与D1、D2之间的关联，这将使其更好地扩展。

@RequestMapping("/d1s")
@RestController
public class D1Controller {

    @GetMapping("/{d1Id}/by-private-claim")
    @PreAuthorize("hasAuthority('roleLevel1') || authentication.canReadD1(#d1.id)")
    public D1 getD1WithAccessByPrivateClaim(@PathVariable(name = "d1Id") D1 d1) {
        return d1;
    }

    @GetMapping("/{d1Id}/using-authorization-service-bean")
    @PreAuthorize("hasAuthority('roleLevel1') || @authorizationService.canReadD1(authentication, #d1.id)")
    public D1 getD1WithAccessByAuthorizationService(@PathVariable(name = "d1Id") D1 d1) {
        return d1;
    }
}

型
第一种方法需要提供一个Authentication和canReadD1方法（使用私有声明），第二种方法需要提供一个authorizationService bean和canReadD1方法（使用数据库）。