第3章 权限模型基础：RBAC模型、ABAC模型、混合模型适用场景

3.1 边界

本章聚焦于三类主流访问控制模型的架构边界：角色基访问控制（RBAC）、属性基访问控制（ABAC）以及二者组合的混合模型。模型边界界定在“策略定义层”与“策略执行点（PEP）”之间，不涉及身份源同步、会话管理或凭证分发等外部系统。适用场景覆盖从静态部门划分到动态项目隔离的需求。

• RBAC：权限与角色绑定，用户仅通过角色获得权限，适合职责明确的组织层级。
• ABAC：权限基于用户、资源、环境多属性计算得出，适合高动态、细粒度控制。
• 混合模型：在RBAC角色骨架之上叠加ABAC属性规则，兼顾效率与灵活性。

3.2 分层与组件职责

3.3 数据流 / 控制流 / 信任链路

下图展示了三种模型在授权请求生命周期中的核心数据流与控制流分歧点。用户请求经PEP截获后，PDP根据模型类型选择不同的决策路径；信任链路从PEP经PDP到PIP，最终返回许可/拒绝。

3.4 选型权衡

3.5 风险点

• RBAC角色爆炸：当组织层级复杂或项目交叉时，角色数量激增，管理成本失控。
• ABAC性能风险：属性上下文查询可能引入高延迟（尤其是跨服务PIP调用），影响关键路径。
• 混合模型策略冲突：角色权限与属性规则同时生效时，若未定义优先级逻辑，可能导致权限意外放大或缩小。
• 审计盲区：ABAC属性规则不可视化时，难以追溯特定请求的决策依据；混合模型需记录角色+属性双重证据。

3.6 落地步骤

1. 域分析：识别组织中稳定角色集（如“项目经理”、“数据分析师”）和动态属性维度（如项目阶段、数据敏感度）。
2. 搭建PDP决策引擎：选择支持策略组合的引擎（如OPA + RBAC模块）。
3. 定义策略优先级：约定“角色拒绝优先于属性允许”或“属性条件覆盖角色权限”，写入策略元模型。
4. PIP适配器开发：对接LDAP（角色）、CMDB（资源标签）、IAM（用户属性）等。
5. PEP埋点：在网关或服务框架中注入鉴权拦截器，携带请求上下文。
6. 渐进切换：先对非核心API启用混合模型，通过影子模式收集策略误判数据。

# 混合模型策略片段示例（OPA Rego）
default allow = false

# 角色基础规则
allow if user.role == "admin"
allow if user.role == "editor" and input.action == "read"

# 属性约束：项目隔离
allow if {
    user.role == "developer"
    input.action == "write"
    input.resource.project == user.assigned_project
    time.now_hour >= 8
    time.now_hour < 20
}

3.7 验收标准