谈谈 RBAC 资源治理：大家是如何避免 Spring Security 鉴权注解与权限字典脱节的？

做 RBAC 治理时，最头疼的就是权限字典（数据库或权限中心）与 Controller 鉴权代码脱节：代码里的 @PreAuthorize("hasAuthority('system:user:export')") 早就删了或改名了，字典表里还躺着历史僵尸数据；或者前端配了权限点，后端压根没加上拦截。

目前见过几种方案，但各有各的局限：

1. 运行时反射扫描自动上报：服务启动通过 ApplicationListener 扫 Controller 的自定义注解并同步到权限中心。好用，但在升级 Spring Boot 3.x + GraalVM Native Image 时会踩坑——需要显式配置反射元数据（AOT 阶段容易漏），且容易让本地开发环境污染生产字典。
2. 构建期扫描（AST / APT）：在 Maven / Gradle 编译期提取注解生成元数据清单，配合 CI/CD 流水线做 Diff 校验。严谨，但工程侵入性略高。
3. OpenAPI / Swagger 扩展字段：利用 Springdoc 在接口文档里声明 x-permission，由网关或管理后台拉取解析。坑点是经常有人写错注解参数，编译器又不做强类型校验。

想请教一下大家团队目前的落地方案是什么？是靠 CI 流水线做强校验卡点，还是有更好的元数据同步实践？大家在微服务多实例部署时，又是如何规避并发注册导致权限覆盖问题的？