除了主體之外，`Authentication`提供的另一個重要方法是`getAuthorities（）`。 此方法提供`GrantedAuthority`對象的數組。 毫不奇怪，`GrantedAuthority`是授予主體的權限。 這些權限通常是“角色”，例如`ROLE_ADMINISTRATOR`或`ROLE_HR_SUPERVISOR`。 稍后將為這些角色配置Web授權，方法授權和域對象授權。 Spring Security的其他部分能夠解釋這些權限，并期望它們存在。 `GrantedAuthority`對象通常由`UserDetailsService`加載。 通常，`GrantedAuthority`對象是應用程序范圍的權限。 它們不是特定于給定的域對象。 因此，您可能不會有`GrantedAuthority`來表示對`Employee`對象編號54的權限，因為如果有數千個這樣的權限，您將很快耗盡內存（或者，至少導致應用程序需要很長時間 驗證用戶的時間）。 當然，Spring Security專門設計用于處理這個常見需求，但您可以使用項目的域對象安全功能來實現此目的。