现在明白，其实我这个项目的角色权限前台页面设计错误了。导致整个流程总有重叠和缺失的部分。应该是
用户：添加，删除，修改，查询，分配角色
角色：添加，删除，修改，查询，分配权限
权限：添加，删除，修改，查询
在添加和删除时，必须考虑用户和角色，角色和权限表的关联。
还有一点，我应该把获取sql写在service层的方法中，方法入参应该是getparameter基本参数，不然在action中，每次方法的重复调用都需要重新获取sql语句