项目中的用户权限控制和鉴权是如何实现的？

回答思路

1. 能说明基于角色的访问控制（RBAC）模型及其角色、权限、用户关系
2. 能说明认证机制（如Token、JWT、Session）和密码存储方式
3. 能说明权限校验的粒度（菜单、接口、数据）和实现方式
4. 能讨论权限变更、越权防护、Token过期与刷新等细节
5. 能结合项目实际举例说明设计选择和权衡