@PreAuthorize 权限控制的原理

@PreAuthorize 注解，顾名思义是进入方法前的权限验证，@PreAuthorize 声明这个方法所需要的权限表达式，例如：@PreAuthorize("hasAuthority('sys:dept:delete')")，

根据这个注解所需要的权限，再和当前登录的用户角色所拥有的权限对比，如果用户的角色权限集Set中有这个权限，则放行；没有，拒绝

跟进hasAuthority方法:

但是，问题来了，这个用户的角色权限Set，是什么时候存入的，其流程如下：

 相关代码：

 AbstractUserDetailsAuthenticationProvider 实现了 AuthenticationProvider.authenticate(Authentication authentication)

 DaoAuthenticationProvider extends AbstractUserDetailsAuthenticationProvider，所以要实现父类抽象方法retrieveUser（）