微信小程序登录访问后端，但是后端有权限校验怎么做

在实现微信小程序登录并与后端服务通信的同时要进行权限校验时，可以遵循以下步骤：

1. **微信小程序登录流程：**
    - 在微信小程序中，使用 `wx.login` 获取临时登录凭证（code）。
    - 将这个code发送到后端服务。
    - 后端服务使用这个code以及小程序的appID和appSecret调用微信的auth.code2Session API，从而获取`openid`和`session_key`。

2. **后端生成自有的认证token：**
    - 一旦后端拿到`openid`和`session_key`，可以认为用户已经通过微信身份验证。
    - 然后后端生成自有的认证token (比如JWT token)，并将该token与用户的`openid`关联，并存储`session_key`用于后续的加解密或信息校验。
    - 返回这个token给小程序客户端。

3. **小程序存储token并用于后续请求：**
    - 小程序客户端收到token后，将其存储在本地（如`wx.setStorage`）。
    - 在发起后续请求时，在HTTP请求的Authorization头部携带该token。

4. **后端进行权限校验：**
    - 对于每个需要权限的请求，后端都会检查HTTP的Authorization头部。
    - 后端会解析并验证token的有效性，如果token有效则从中得到用户信息。
    - 如果所需的权限符合或用户信息有效，后端处理请求并返回响应数据。
    - 如果token无效或过期，后端返回错误响应，通常是401 Unauthorized或403 Forbidden。

5. **后端的权限校验实现：**
    - 可以使用Spring Security或类似的安全框架来引入角色和权限校验机制。
    - 需要实现自定义的`AuthenticationProvider`或`UserDetailsService`来验证token以及加载与之关联的用户权限。
    - 应用注解如`@PreAuthorize`、`@Secured`或`@RolesAllowed`等，来对不同的API端点进行粒度化的权限控制。

6. **处理token的续签和失效：**
    - 如果token过期，小程序可以通过刷新机制向后端请求一个新的token。
    - 后端必须能够对这种续签请求做出响应，并提供一个新的token或者要求用户重新登录。

这种方式可以确保每个HTTP请求都被认证和授权，同时保持了微信登录的流畅体验。适当地设计好认证和权限验证机制，可以让小程序的用户体验和安全性得到平衡。