以 Taichi2.0 的 Spring Boot + Vue 认证代码为例，梳理主流 Token 自动续期方案，分析当前 JWT 实现的风险与边界，并给出短期 Access Token、HttpOnly Refresh Token、轮换和重放检测的完整落地架构。

结合 Taichi2.0 的真实代码和设计文档，完整拆解通信指令计划、MQTT 响应关联、Command 工厂、属性单位规则匹配、Caffeine 缓存与 InfluxDB 数据组装，并给出可实施的可靠性重构、代码架构、测试和上线路线。

本文基于 yin 后端和 yang 前端项目，整理一套后台管理系统常用的 RBAC 权限方案。目标是让菜单、动态路由、按钮权限、接口权限和角色分配保持同一套数据来源，避免出现“页面能看到但接口 403”或“分配了权限但菜单不显示”的问题。

一、整体目标

后台权限通常要解决四件事：

1. 用户登录后拿到 token、用户信息、角色、权限和菜单树。
2. 前端根据菜单树动态注册 Vue Router 路由。
3. 前端根据权限标识控制按钮、操作列、页面访问。
4. 后端用 Spring Security 对接口做最终鉴权。