Java框架快速入门: Spring Security+OAuth2之RBAC与角色分层实践

Wang's Blog2026-09-15 17:34

概述

在权限管理领域，基于角色的访问控制（RBAC）凭借其直观性和易用性，已成为企业级应用的标准模型。

Spring Security 不仅完美支持 RBAC，还提供了角色分层机制来应对复杂系统中角色膨胀的管理难题。本文将理论结合实战，带你深入理解并落地这一特性。

纲要

  • RBAC 核心模型：用户、角色、权限关系
  • 业务中的模型扩展与简化策略
  • Spring Security 中的 Role 与 Authority 对比
  • 角色分层 RoleHierarchy 的概念与价值
  • 实战：编码配置 RoleHierarchyVoter
  • 关键版本差异与避坑指南

RBAC 核心概念

基于角色的访问控制模型非常易于理解：角色是权限的集合。管理员不再直接将琐碎的权限授予用户，而是将用户与角色关联，再由角色关联权限。
#mermaid-svg-h896B3rUBb80bI6j{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-h896B3rUBb80bI6j .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-h896B3rUBb80bI6j .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-h896B3rUBb80bI6j .error-icon{fill:#552222;}#mermaid-svg-h896B3rUBb80bI6j .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-h896B3rUBb80bI6j .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-h896B3rUBb80bI6j .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-h896B3rUBb80bI6j .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-h896B3rUBb80bI6j .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-h896B3rUBb80bI6j .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-h896B3rUBb80bI6j .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-h896B3rUBb80bI6j .marker{fill:#333333;stroke:#333333;}#mermaid-svg-h896B3rUBb80bI6j .marker.cross{stroke:#333333;}#mermaid-svg-h896B3rUBb80bI6j svg{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-h896B3rUBb80bI6j p{margin:0;}#mermaid-svg-h896B3rUBb80bI6j .label{font-family:"trebuchet ms",verdana,arial,sans-serif;color:#333;}#mermaid-svg-h896B3rUBb80bI6j .cluster-label text{fill:#333;}#mermaid-svg-h896B3rUBb80bI6j .cluster-label span{color:#333;}#mermaid-svg-h896B3rUBb80bI6j .cluster-label span p{background-color:transparent;}#mermaid-svg-h896B3rUBb80bI6j .label text,#mermaid-svg-h896B3rUBb80bI6j span{fill:#333;color:#333;}#mermaid-svg-h896B3rUBb80bI6j .node rect,#mermaid-svg-h896B3rUBb80bI6j .node circle,#mermaid-svg-h896B3rUBb80bI6j .node ellipse,#mermaid-svg-h896B3rUBb80bI6j .node polygon,#mermaid-svg-h896B3rUBb80bI6j .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-h896B3rUBb80bI6j .rough-node .label text,#mermaid-svg-h896B3rUBb80bI6j .node .label text,#mermaid-svg-h896B3rUBb80bI6j .image-shape .label,#mermaid-svg-h896B3rUBb80bI6j .icon-shape .label{text-anchor:middle;}#mermaid-svg-h896B3rUBb80bI6j .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-h896B3rUBb80bI6j .rough-node .label,#mermaid-svg-h896B3rUBb80bI6j .node .label,#mermaid-svg-h896B3rUBb80bI6j .image-shape .label,#mermaid-svg-h896B3rUBb80bI6j .icon-shape .label{text-align:center;}#mermaid-svg-h896B3rUBb80bI6j .node.clickable{cursor:pointer;}#mermaid-svg-h896B3rUBb80bI6j .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-h896B3rUBb80bI6j .arrowheadPath{fill:#333333;}#mermaid-svg-h896B3rUBb80bI6j .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-h896B3rUBb80bI6j .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-h896B3rUBb80bI6j .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-h896B3rUBb80bI6j .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-h896B3rUBb80bI6j .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-h896B3rUBb80bI6j .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-h896B3rUBb80bI6j .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-h896B3rUBb80bI6j .cluster text{fill:#333;}#mermaid-svg-h896B3rUBb80bI6j .cluster span{color:#333;}#mermaid-svg-h896B3rUBb80bI6j div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-h896B3rUBb80bI6j .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-h896B3rUBb80bI6j rect.text{fill:none;stroke-width:0;}#mermaid-svg-h896B3rUBb80bI6j .icon-shape,#mermaid-svg-h896B3rUBb80bI6j .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-h896B3rUBb80bI6j .icon-shape p,#mermaid-svg-h896B3rUBb80bI6j .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-h896B3rUBb80bI6j .icon-shape .label rect,#mermaid-svg-h896B3rUBb80bI6j .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-h896B3rUBb80bI6j .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-h896B3rUBb80bI6j .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-h896B3rUBb80bI6j :root{--mermaid-font-family:"trebuchet ms",verdana,arial,sans-serif;} 用户 A
角色: 编辑员
角色: 分析员
用户 B
权限: 文章增删
权限: 文章改
权限: 报表查看

这种机制在企业中无处不在，例如办公区的门禁系统：加入某个部门就等于获得了该部门的"角色"，从而自动拥有进入对应区域的权限。

模型的现实扩展

业务场景中常出现"部门 + 角色"的组合需求。例如，"A部门的管理员"与"B部门的管理员"权限不同。但这并未脱离 RBAC 模型，只是将组织属性融入了角色定义中。从建模角度看，我们可以将角色视为"部门"与"业务角色"这两个因素共同决定的结果，它完全可以被简化为标准 RBAC。

Spring Security 中的角色与权限

在 Spring Security 框架中，有两个核心概念：Role 和 Authority。

概念 前缀 语义 定位建议
Role 自动添加 ROLE_ 前缀 代表一个角色，是权限的集合 用于分组，对应 RBAC 中的角色
Authority 无固定前缀 更灵活，可表示原子权限 用于细粒度控制，如 READ_PRIVILEGE

正因如此，在构建 RBAC 模型时，很自然的选择是：将 Authority 视作原子权限 ，而将 Role 作为这些原子权限的组合集合。

关于动态权限配置

动态权限配置的本质是动态分配角色的组合关系，而不是无限变动的原子权限。任意系统最终都需要一个固定的权限锚点，来决定某个组合究竟能访问何种资源。因此，原子权限通常是预先定义并固定的。

在大部分业务中，如果对资源的增、删、改、查操作不需要区分得特别细致，甚至可以省略原子权限这一层，直接使用角色来控制访问。

角色分层：解决角色膨胀

当一个系统的角色数量膨胀到成百上千个时，管理员很难记住每个角色的具体权限。角色分层提供了一种"包含"式的继承关系来简化管理。例如：
#mermaid-svg-guGuEBqLX0ZEMSDH{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;fill:#333;}@keyframes edge-animation-frame{from{stroke-dashoffset:0;}}@keyframes dash{to{stroke-dashoffset:0;}}#mermaid-svg-guGuEBqLX0ZEMSDH .edge-animation-slow{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 50s linear infinite;stroke-linecap:round;}#mermaid-svg-guGuEBqLX0ZEMSDH .edge-animation-fast{stroke-dasharray:9,5!important;stroke-dashoffset:900;animation:dash 20s linear infinite;stroke-linecap:round;}#mermaid-svg-guGuEBqLX0ZEMSDH .error-icon{fill:#552222;}#mermaid-svg-guGuEBqLX0ZEMSDH .error-text{fill:#552222;stroke:#552222;}#mermaid-svg-guGuEBqLX0ZEMSDH .edge-thickness-normal{stroke-width:1px;}#mermaid-svg-guGuEBqLX0ZEMSDH .edge-thickness-thick{stroke-width:3.5px;}#mermaid-svg-guGuEBqLX0ZEMSDH .edge-pattern-solid{stroke-dasharray:0;}#mermaid-svg-guGuEBqLX0ZEMSDH .edge-thickness-invisible{stroke-width:0;fill:none;}#mermaid-svg-guGuEBqLX0ZEMSDH .edge-pattern-dashed{stroke-dasharray:3;}#mermaid-svg-guGuEBqLX0ZEMSDH .edge-pattern-dotted{stroke-dasharray:2;}#mermaid-svg-guGuEBqLX0ZEMSDH .marker{fill:#333333;stroke:#333333;}#mermaid-svg-guGuEBqLX0ZEMSDH .marker.cross{stroke:#333333;}#mermaid-svg-guGuEBqLX0ZEMSDH svg{font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:16px;}#mermaid-svg-guGuEBqLX0ZEMSDH p{margin:0;}#mermaid-svg-guGuEBqLX0ZEMSDH .label{font-family:"trebuchet ms",verdana,arial,sans-serif;color:#333;}#mermaid-svg-guGuEBqLX0ZEMSDH .cluster-label text{fill:#333;}#mermaid-svg-guGuEBqLX0ZEMSDH .cluster-label span{color:#333;}#mermaid-svg-guGuEBqLX0ZEMSDH .cluster-label span p{background-color:transparent;}#mermaid-svg-guGuEBqLX0ZEMSDH .label text,#mermaid-svg-guGuEBqLX0ZEMSDH span{fill:#333;color:#333;}#mermaid-svg-guGuEBqLX0ZEMSDH .node rect,#mermaid-svg-guGuEBqLX0ZEMSDH .node circle,#mermaid-svg-guGuEBqLX0ZEMSDH .node ellipse,#mermaid-svg-guGuEBqLX0ZEMSDH .node polygon,#mermaid-svg-guGuEBqLX0ZEMSDH .node path{fill:#ECECFF;stroke:#9370DB;stroke-width:1px;}#mermaid-svg-guGuEBqLX0ZEMSDH .rough-node .label text,#mermaid-svg-guGuEBqLX0ZEMSDH .node .label text,#mermaid-svg-guGuEBqLX0ZEMSDH .image-shape .label,#mermaid-svg-guGuEBqLX0ZEMSDH .icon-shape .label{text-anchor:middle;}#mermaid-svg-guGuEBqLX0ZEMSDH .node .katex path{fill:#000;stroke:#000;stroke-width:1px;}#mermaid-svg-guGuEBqLX0ZEMSDH .rough-node .label,#mermaid-svg-guGuEBqLX0ZEMSDH .node .label,#mermaid-svg-guGuEBqLX0ZEMSDH .image-shape .label,#mermaid-svg-guGuEBqLX0ZEMSDH .icon-shape .label{text-align:center;}#mermaid-svg-guGuEBqLX0ZEMSDH .node.clickable{cursor:pointer;}#mermaid-svg-guGuEBqLX0ZEMSDH .root .anchor path{fill:#333333!important;stroke-width:0;stroke:#333333;}#mermaid-svg-guGuEBqLX0ZEMSDH .arrowheadPath{fill:#333333;}#mermaid-svg-guGuEBqLX0ZEMSDH .edgePath .path{stroke:#333333;stroke-width:2.0px;}#mermaid-svg-guGuEBqLX0ZEMSDH .flowchart-link{stroke:#333333;fill:none;}#mermaid-svg-guGuEBqLX0ZEMSDH .edgeLabel{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-guGuEBqLX0ZEMSDH .edgeLabel p{background-color:rgba(232,232,232, 0.8);}#mermaid-svg-guGuEBqLX0ZEMSDH .edgeLabel rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-guGuEBqLX0ZEMSDH .labelBkg{background-color:rgba(232, 232, 232, 0.5);}#mermaid-svg-guGuEBqLX0ZEMSDH .cluster rect{fill:#ffffde;stroke:#aaaa33;stroke-width:1px;}#mermaid-svg-guGuEBqLX0ZEMSDH .cluster text{fill:#333;}#mermaid-svg-guGuEBqLX0ZEMSDH .cluster span{color:#333;}#mermaid-svg-guGuEBqLX0ZEMSDH div.mermaidTooltip{position:absolute;text-align:center;max-width:200px;padding:2px;font-family:"trebuchet ms",verdana,arial,sans-serif;font-size:12px;background:hsl(80, 100%, 96.2745098039%);border:1px solid #aaaa33;border-radius:2px;pointer-events:none;z-index:100;}#mermaid-svg-guGuEBqLX0ZEMSDH .flowchartTitleText{text-anchor:middle;font-size:18px;fill:#333;}#mermaid-svg-guGuEBqLX0ZEMSDH rect.text{fill:none;stroke-width:0;}#mermaid-svg-guGuEBqLX0ZEMSDH .icon-shape,#mermaid-svg-guGuEBqLX0ZEMSDH .image-shape{background-color:rgba(232,232,232, 0.8);text-align:center;}#mermaid-svg-guGuEBqLX0ZEMSDH .icon-shape p,#mermaid-svg-guGuEBqLX0ZEMSDH .image-shape p{background-color:rgba(232,232,232, 0.8);padding:2px;}#mermaid-svg-guGuEBqLX0ZEMSDH .icon-shape .label rect,#mermaid-svg-guGuEBqLX0ZEMSDH .image-shape .label rect{opacity:0.5;background-color:rgba(232,232,232, 0.8);fill:rgba(232,232,232, 0.8);}#mermaid-svg-guGuEBqLX0ZEMSDH .label-icon{display:inline-block;height:1em;overflow:visible;vertical-align:-0.125em;}#mermaid-svg-guGuEBqLX0ZEMSDH .node .label-icon path{fill:currentColor;stroke:revert;stroke-width:revert;}#mermaid-svg-guGuEBqLX0ZEMSDH :root{--mermaid-font-family:"trebuchet ms",verdana,arial,sans-serif;} 包含
包含
ROLE_ADMIN
ROLE_MANAGER
ROLE_USER

这意味着 ROLE_ADMIN 自动拥有 ROLE_MANAGER 和 ROLE_USER 的全部权限。管理员只需给用户授予 ROLE_ADMIN，无需再费力勾选其所有子角色。这就是 RoleHierarchy 机制。

实战演练：配置角色分层

我们将在一个标准的 Spring Boot 安全配置中，实现上述包含关系。

首先，确保 pom.xml 包含安全与 Web 启动器：

xml 复制代码 
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-security</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
</dependency>
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-test</artifactId>
    <scope>test</scope>
</dependency>

项目核心代码结构如下：

dir 复制代码 
src/main/java/com/example/demo/
├── config
│   └── SecurityConfig.java
├── controller
│   └── UserController.java
└── DemoApplication.java
src/test/java/com/example/demo/
└── RoleHierarchyTest.java

接下来，创建安全配置类，核心是注册一个 RoleHierarchy Bean，并配置其投票器。

java 复制代码 
package com.example.demo.config;

import org.springframework.context.annotation.Bean;
import org.springframework.context.annotation.Configuration;
import org.springframework.security.access.hierarchicalroles.RoleHierarchy;
import org.springframework.security.access.hierarchicalroles.RoleHierarchyImpl;
import org.springframework.security.config.annotation.web.builders.HttpSecurity;
import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity;
import org.springframework.security.config.annotation.web.configuration.WebSecurityConfigurerAdapter;
import org.springframework.security.web.SecurityFilterChain;

@Configuration
@EnableWebSecurity
public class SecurityConfig {

    // 从 Spring Security 5.x 开始，推荐使用 SecurityFilterChain 配置方式
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .authorizeHttpRequests(authz -> authz
                // 访问 /manager 接口需要拥有 ROLE_MANAGER 角色
                .antMatchers("/manager/**").hasRole("MANAGER")
                // 访问 /user 接口需要拥有 ROLE_USER 角色
                .antMatchers("/user/**").hasRole("USER")
                .anyRequest().authenticated()
            )
            .httpBasic(); // 使用基础认证方便测试
        return http.build();
    }

    @Bean
    public RoleHierarchy roleHierarchy() {
        RoleHierarchyImpl roleHierarchy = new RoleHierarchyImpl();
        // 关键：用换行符 \n 分隔不同的层级关系
        String hierarchy = "ROLE_ADMIN > ROLE_MANAGER \n ROLE_MANAGER > ROLE_USER";
        roleHierarchy.setHierarchy(hierarchy);
        return roleHierarchy;
    }
}

然后，编写一个简单的控制器来暴露资源端点。

java 复制代码 
package com.example.demo.controller;

import org.springframework.web.bind.annotation.GetMapping;
import org.springframework.web.bind.annotation.RestController;

@RestController
public class UserController {

    @GetMapping("/user")
    public String userAccess() {
        return "User level content";
    }

    @GetMapping("/manager")
    public String managerAccess() {
        return "Manager level content";
    }
}

最后，编写单元测试来验证角色分层是否生效。

java 复制代码 
package com.example.demo;

import com.example.demo.config.SecurityConfig;
import org.junit.jupiter.api.Test;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.boot.test.autoconfigure.web.servlet.WebMvcTest;
import org.springframework.context.annotation.Import;
import org.springframework.security.test.context.support.WithMockUser;
import org.springframework.test.web.servlet.MockMvc;

import static org.springframework.test.web.servlet.request.MockMvcRequestBuilders.get;
import static org.springframework.test.web.servlet.result.MockMvcResultMatchers.status;

@WebMvcTest
@Import(SecurityConfig.class)
public class RoleHierarchyTest {

    @Autowired
    private MockMvc mockMvc;

    @Test
    @WithMockUser(roles = "USER")
    public void givenUserRole_whenAccessUser_thenOk() throws Exception {
        mockMvc.perform(get("/user"))
                .andExpect(status().isOk());
    }

    @Test
    @WithMockUser(roles = "USER")
    public void givenUserRole_whenAccessManager_thenForbidden() throws Exception {
        mockMvc.perform(get("/manager"))
                .andExpect(status().isForbidden());
    }

    @Test
    @WithMockUser(roles = "MANAGER")
    public void givenManagerRole_whenAccessUser_thenOk() throws Exception {
        // MANAGER > USER，因此 MANAGER 继承 USER 的权限，可以访问
        mockMvc.perform(get("/user"))
                .andExpect(status().isOk());
    }

    @Test
    @WithMockUser(roles = "ADMIN")
    public void givenAdminRole_whenAccessManager_thenOk() throws Exception {
        // ADMIN > MANAGER > USER，因此 ADMIN 可以访问 MANAGER 的资源
        mockMvc.perform(get("/manager"))
                .andExpect(status().isOk());
    }
}

测试结果证明，拥有 ROLE_ADMIN 的用户可以访问 /manager 和 /user 的所有资源，而 ROLE_USER 只能访问自己的资源，角色分层完美生效。

避坑：版本差异

在配置角色层级表达式时，一个容易被忽视的细节是分隔符的变化。

Spring Security 版本 表达式分隔符
5.1.x 及更早 空格
5.2.x 及以后 换行符 \n

本文使用的是主流新版本，因此表达式使用了换行符。如果你在旧项目中遇到配置不生效的问题，请首先检查版本所要求的分隔符。

总结

本文深入探讨了 RBAC 模型及其在 Spring Security 中的实现，特别解析了角色分层这一强大的简化机制。

通过配置 RoleHierarchyImpl，我们能够以声明式的方式建立角色间的继承关系，极大减轻了管理员在复杂系统中的权限分配负担。

结合提供的完整示例代码，相信你可以迅速将此方案应用于实际项目。

相关推荐
caoerzhong1 小时前
JeeWMS 开源仓库管理系统多租户架构解析：一套 Java WMS 如何同时服务多个货主与多个仓库
java·架构·开源·vue
sunshine22 girl1 小时前
Java学习四 面向对象原理
java
干到60岁退休的码农1 小时前
15.创建获取用户接口与JWT认证器
java·spring boot·mybatis
Sophnet云平台1 小时前
2026：AI Agent应用元年，企业从试点到核心业务的跨越逻辑
网络·人工智能·llm·openai·agent
小羊没烦恼！2 小时前
Memory 记忆设计讨论：Agent Memory 的数据模型可以怎么设计
java·开发语言·前端·c++·c#
咏颜2 小时前
frp内网穿透使用
网络·p2p
SL_staff2 小时前
战略落地的最后一公里：从目标到个人日历的自动化链路实现
java·github·全栈
用户3721574261352 小时前
Java 设置 Excel 数据验证：整数、日期、文本长度、下拉列表和时间
java
爱学习的程序媛2 小时前
ICMP协议详解
网络·网络协议·网络安全·通信协议·icmp·网络运维
热门推荐
01国内可直接用、免费额度/永久免费的大模型API清单（含 SiliconFlow、火山、阿里、智谱、百度、Kimi、DeepSeek、DMXAPI 等）02历年考研数学一、数学二、数学三真题试卷及答案PDF03微信历史版本含下载地址（ Windows PC | 安卓 | MAC ）及设置微信不更新04GitHub 镜像站点05蜘蛛磁力 搜索引擎大全，如何使用蜘蛛磁力查找磁力链接062026 国产 AI 大模型横评：DeepSeek、通义千问、Kimi、文心一言、星火、豆包谁更能打？07人工智能（AI）发展史：详细里程碑08【一等奖版】2026 国赛 A题 药材的烘干问题09ZCode 周末送额度活动开启：3 亿 Token 免费领取10Agnes AI 免费 API 接入指南：文本、生图、生视频，一套接口全免费