2 RBAC九宫图：角色层级关系、权限继承机制、静态与动态职责分离

RBAC模型经过二十余年工业验证，已从单一的用户→角色→权限三元组演变为包含层级、约束、会话的完整体系。九宫图将这一体系拆解为3 个维度 × 3 个层级，帮助架构师在选型时快速定位当前场景所需的RBAC子集。

2.1 模块边界与分层模型

九宫图并非9个孤立盒子，而是按核心要素层、机制层、约束层纵向堆叠，按用户侧、角色侧、权限侧横向切分。下表列出每个格子的所属模块与职责边界：

• 核心要素层：定义最基本的用户、角色、权限三元组，是RBAC0的覆盖范围。
• 机制层：引入角色层级与继承，对应RBAC1；UA和PA的分配关系在此层细化。
• 约束层：叠加SSD/DSD及会话控制，对应RBAC2；约束条件在此层生效。

2.2 角色层级关系

角色层级（Role Hierarchy）定义了角色之间的偏序关系：若角色A > 角色B，则A继承B的所有权限，同时A的用户也可激活B的角色。这种关系不是树形而是有向无环图（DAG），允许一个角色有多个父节点和子节点。

层级关系在九宫图中位于机制层·角色侧，其核心职责包括：

• 继承传递：下级角色的权限自动附加到上级角色。
• 冲突检测：若A和B存在互斥约束，则不能出现在同一条继承链中。
• 范围裁剪：支持私有权限（不继承给上级）与公共权限（沿层级扩散）。

2.3 权限继承机制

权限继承是角色层级的具体体现。当用户激活某个角色时，系统需沿层级自底向上递归收集所有子角色的权限，同时受限于继承阻断规则（如显式拒绝）。

数据流方向如下：

1. 用户发起请求 → 上下文解析器提取用户身份与激活角色集。
2. 权限引擎查询该角色集中每个角色的层级祖先链。
3. 合并所有祖先角色的权限，去重并按“拒绝优先”规则裁决。
4. 返回允许/拒绝决策。

下面用一段伪码描述核心逻辑（仅供理解，非生产代码）：

function collectPermissions(roleId):
    permissions = emptySet
    queue = [roleId]
    visited = set()
    while queue not empty:
        current = queue.pop()
        if current in visited: continue
        visited.add(current)
        permissions.addAll( getRolePermissions(current) )
        // 向上收集父角色权限
        for parent in getParentRoles(current):
            if not isBlocked(current, parent):
                queue.add(parent)
    return permissions

2.4 静态与动态职责分离

职责分离（Separation of Duty）为了防止单一用户获得冲突权限组合。九宫图中它们分别位于约束层的用户侧和角色侧：

2.5 九宫图整体结构（SVG）

下图完整展示RBAC九宫图的模块边界、分层关系及数据流。箭头表示“继承/分配”方向，虚线表示约束作用点。

2.6 数据流与信任链路

九宫图内的数据流遵循自下而上收集、自上而下约束的原则：

• 正向流（分配方向）：用户管理 → 用户-角色分配 → 角色管理 → 角色层级 → 权限继承 → 权限管理。
• 反向流（决策方向）：权限继承（收集所有祖先权限）→ 角色层级（确认角色有效）→ 用户-角色分配（校验用户是否拥有该角色）→ 用户管理。
• 约束注入点：SSD在用户-角色分配时介入，DSD在会话激活角色时介入。

信任链路核心假设：角色管理层是可信的（由安全管理员维护），权限继承关系不可被普通用户篡改。约束层通过策略决策点（PDP）进行校验，策略信息点（PIP）提供用户属性和会话上下文。

2.7 选型权衡

2.8 风险点

• 继承爆炸：层级过深（超过6层）导致权限收集性能劣化，建议限制最大深度并启用缓存。
• SSD过度约束：互斥角色集定义过宽导致用户无法完成正常业务，建议搭配“特权提升”审批流程。
• DSD绕过：用户通过多浏览器/多设备创建多个会话同时激活互斥角色，需结合设备指纹或IP绑定。
• 层级环路：DAG中意外出现循环导致继承陷入死循环，必须在角色变更时进行拓扑排序检测。

2.9 落地步骤

1. 盘点现有角色与权限：梳理当前系统中所有角色及其直接权限，形成基线清单。
2. 设计角色层级DAG：按业务域划分层级，确保无环，并标注每个节点的私有权限。
3. 配置继承阻断规则：对敏感权限设置“不继承”标志，防止向上扩散。
4. 定义SSD互斥集：与业务合规团队一起列出不可同时分配的角色对，配置到策略引擎。
5. 实现DSD校验点：在会话创建/角色切换时插入DSD检查，返回403并触发审计事件。
6. 灰度验证与展平审计：在测试环境模拟用户请求，输出展平后的权限集合，逐项比对预期。

2.10 验收标准