RBAC 模型标准层次：基础 RBAC0、角色分级 RBAC1、角色约束 RBAC2、统一 RBAC3

RBAC 模型并非单一规范，而是由四个渐进层次构成的标准体系。明确每一层的边界、组件职责与适用范围，是设计多租户权限系统的第一步。四层模型并非互相替代，而是逐层叠加约束与能力：高层兼容低层，低层可作为独立方案落地。

四层模型概览

分层详解与组件职责

RBAC0 —— 地基

用户、角色、权限三者关系为简单的多对多映射。不涉及角色间关系。组件职责清晰：

• 权限管理模块：维护操作（增删改查）与资源（数据集、URL）的绑定关系。
• 角色管理模块：创建/删除角色，为用户分配角色。
• 会话管理模块：用户在登录后激活其关联角色，获得相应权限。

数据流：用户登录 → 加载角色列表 → 加载角色对应权限 → 缓存至会话。控制流仅受角色分配表驱动，无后退逻辑。

RBAC1 —— 继承层次

角色可形成偏序关系（角色树），上级角色自动拥有下级角色的所有权限。组件新增：

• 角色继承解析器：在授权时递归合并上级与下级权限集。
• 循环检测器：禁止角色继承形成环。

信任链路：若租户管理员创建“超级管理员”角色继承“子管理员”，则子管理员权限变更会向上传播。风险在于继承深度过大可能导致权限爆炸。

RBAC2 —— 约束引擎

在 RBAC0 基础上引入三类约束规则，由约束校验器组件统一执行：

约束校验发生在角色分配、会话建立两个时刻，防止违反规则的状态被执行。

RBAC3 —— 全能力体

将 RBAC1 的继承树与 RBAC2 的约束引擎合并运行。组件需要处理继承与约束的冲突：例如父角色被分配互斥角色时，子角色是否继承？标准推荐约束优先：继承不得绕过互斥约束。数据流需在权限合并后执行约束重检。

选型权衡

• RBAC0：适合快速上线、角色数量少、无复杂约束的团队。注意后续升级到 RBAC1/2 时的数据迁移成本。
• RBAC1：适合组织架构清晰的企业。风险在于角色继承深度超过 4 层后，权限推导性能下降，建议限制最大继承深度。
• RBAC2：适合合规要求严格的场景。互斥约束的维护成本高，且修改约束时可能影响已有分配记录，需提供“约束变更影响报告”。
• RBAC3：全量功能引入后，权限引擎的复杂性是指数级增长的。建议仅在跨租户权限共享、多级代理场景中使用，且必须配套可视化权限图谱。

落地步骤（以多租户系统为例）

1. 定义基线：先按 RBAC0 搭建用户-角色-权限三元组，通过数据表隔离租户 ID。
2. 审计角色数量：若超过 30 个角色且存在上下级关系，引入 RBAC1 角色继承。
3. 分析互斥场景：梳理业务流程中不可兼任的岗位（如审核员与提交者），引入 RBAC2 互斥约束。
4. 配置基数规则：对敏感角色设置最大分配人数，并实现自动回退机制。
5. 升级到 RBAC3：在已有继承和约束基础上，统一规则引擎，实现所有约束的联合校验。
6. 性能优化：对权限合并结果进行缓存预热，避免每次请求递归遍历角色树。

验收标准