现在明白，其实我这个项目的角色权限前台页面设计错误了。导致整个流程总有重叠和缺失的部分。应该是

用户：添加，删除，修改，查询，分配角色

角色：添加，删除，修改，查询，分配权限

权限：添加，删除，修改，查询

在添加和删除时，必须考虑用户和角色，角色和权限表的关联。

还有一点，我应该把获取sql写在service层的方法中，方法入参应该是getparameter基本参数，不然在action中，每次方法的重复调用都需要重新获取sql语句