1)SecurityContextHolder использовать и получить объект аутентификации текущей SecurityContextHolder.getContext().getAuthentication()
2)Также в контроллере можно в метод добавить параметр Principal либо Authentication. И в запросе спринг его туда положит, если пользователь аутентифицирован.
У юзера в контексте разрешения, роли лежат в зависимости от того, как UserDetails строится.
На самом деле, не совсем понятно, что хотите

если используется коробочный механизм из спринг секьюрити, то скорее всего речь идет о GrantedAuthority от UserDetails

нынче мало кто помнит (и вообще знает), что в Java есть такой механизм, как SecurityManager.

SecurityManager securityManager = System.getSecurityManager();
       securityManager.checkPermission(new AllPermission());

А это разве не проверка исключительно на AllPermission ???

ну мне вам код писать полностью чтоли? помимо того что хрен поймёшь что вам надо, потыкайтесь в дебагере в секьюритиМенеджер, поищите наследников Permission

и все отвечают про Спринг секьюрити, что в общем-то логично. Это ведь группа по Спринг. :) А вы сначала не уточнили, о каких пермишенах потока речь.

java.security.AccessControlContext хранит массив Permission[], сам контекст можно через SecurityManager получить. можно банально подебажить и посмотреть какие пермишены лежат там