2. RBAC核心概念详解：用户、角色、权限、会话、约束关系
章节边界说明：本章聚焦 RBAC（基于角色的访问控制）模型中五个核心概念的定义、职责、相互映射关系以及工程化落地时的常见权衡与风险。不涉及扩展模型（如 ABAC、GBAC）或具体实现代码。
2.1 概念分层与边界
RBAC 的核心思想是将权限通过“角色”间接授予“用户”，从而解耦用户与权限的直接绑定。在架构视角下，五元素可划分为三层：
- 用户层（实体层）：包含“用户”与“会话”，代表真实操作主体及其活动上下文。
- 角色层（逻辑层）：包含“角色”与“约束关系”，负责权限聚合与策略规则。
- 权限层（资源层）：包含“权限”，定义对特定资源或操作的可执行粒度。
2.2 组件职责
| 核心概念 | 职责说明 | 典型属性 |
|---|---|---|
| 用户 | 系统内的操作主体，通常对应自然人、服务账号或系统进程 | 唯一标识、认证凭证、可分配多个角色 |
| 角色 | 权限的集合体，作为用户和权限之间的桥梁 | 角色名、层级（可选）、可继承关系 |
| 权限 | 对系统资源（数据、功能、API）的具体操作许可 | 资源标识、操作类型（CRUD）、条件表达式 |
| 会话 | 用户激活角色的临时上下文，决定当前生效的权限集合 | 所属用户、激活角色列表、超时时间 |
| 约束关系 | 对用户-角色分配或角色-权限分配施加的规则限制 | 互斥角色、基数限制、前提角色、动态条件 |
2.3 数据流 / 控制流 / 信任链路
权限验证的典型控制流如下：
- 用户登录后创建 会话，并根据认证信息获取该用户关联的所有角色。
- 系统依据 约束关系（如互斥性）筛选出当前可激活的角色列表，存入会话。
- 当用户发起操作请求时，会话提供当前有效角色集合，系统遍历角色以找到授予的 权限。
- 权限判定结果返回，决定允许或拒绝。
信任链路关键点：角色是唯一可信的中介，所有权限不得直接与用户绑定。约束关系在角色激活阶段而非权限检查阶段生效，以降低运行时检查开销。
2.4 选型权衡
| 权衡维度 | 方案 A | 方案 B | 推荐场景 |
|---|---|---|---|
| 角色结构 | 平面角色（简单、易维护） | 层级角色（支持继承，减少重复授权） | 大型组织推荐层级角色，小型系统用平面角色 |
| 约束执行时机 | 静态约束（用户-角色分配时检查） | 动态约束（会话激活时检查） | 静态约束适合安全敏感场景，动态约束适合灵活配置 |
| 权限粒度 | 粗粒度（模块级） | 细粒度（字段/操作级） | 内部管理系统适合粗粒度，面向客户产品需细粒度 |
2.5 风险点
- 角色爆炸：直接为每个用户创建个性化角色，导致运维灾难。应使用约束与组合角色避免。
- 权限冲突：同一用户通过不同角色获得相互矛盾的权限（如允许读且拒绝读）。需要在约束规则中定义优先级或互斥策略。
- 会话管理漏洞：会话未及时过期导致权限残留，或角色激活状态与用户实际意图不一致。建议在每次请求时重新验证会话内的角色有效性。
- 约束条件歧义：互斥角色定义不清晰，例如“管理员”与“审计员”是否互斥需业务确认，否则造成权限黑洞。
2.6 落地步骤
- 定义资源与操作：枚举所有受保护资源及操作类型，形成权限清单。
- 设计角色体系：基于组织职责抽象角色，避免一人一角色；可引入层级角色减少编码。
- 建立用户-角色分配：允许一个用户拥有多个角色，并记录分配生命周期。
- 实施约束规则：根据业务需求制定互斥、基数、前提角色等约束，并嵌入分配逻辑或会话激活逻辑。
- 集成会话管理：认证成功后创建包含可激活角色的会话对象，支持角色选择（如用户主动切换上下文）。
- 权限验证中间件：在 API 网关或业务层统一拦截请求，从会话读取角色并校验权限。
- 审计与扩展：记录角色变更、权限分配日志，为后续动态权限调整（如 ABAC 融合）留出接口。
2.7 验收标准
| 验收项 | 预期结果 |
|---|---|
| 正确关联 | 用户分配角色后，能获得角色下的全部权限，无遗漏 |
| 约束生效 | 互斥角色无法同时分配给同一用户，或无法在同一个会话中激活 |
| 会话隔离 | 不同用户的会话独立，角色激活不影响其他用户 |
| 权限变更即时 | 角色权限更新后，用户的下一次请求体现新权限（缓存过期策略符合 SLA） |
| 性能基线 | 单次权限验证响应时间不超过 10ms（含角色检索与约束检查） |
⚠ 常见误区：不要试图在权限验证阶段递归解析角色继承树——应预先计算每个用户的有效权限集合并缓存。约束关系中的“前提角色”易形成循环依赖，设计时需进行拓扑校验。
架构决策提示：在企业产品中，建议将“约束关系”独立为策略引擎模块，而非硬编码到角色分配逻辑中。这样未来可无缝升级到动态约束（如基于时间、IP 或风险等级的条件权限）。