第1章 权限模型的核心问题：权限管理目标、粗粒度与细粒度、RBAC的定位

1.1 权限管理的根本目标

权限管理不是「谁可以做什么」的简单映射，而是一个边界定义 + 信任链路 + 操作可控的系统工程。其根本目标可归纳为三个层次：

任何权限模型的设计，都必须在这三个层次上同时提供解决方案，缺一不可。缺失身份层会导致「冒充风险」，缺失授权层会导致「越权风险」，缺失审计层会导致「抵赖风险」。

1.2 粗粒度与细粒度的边界与权衡

粗粒度与细粒度描述的是权限控制的精度，本质是 管理成本 与 安全精度 之间的权衡。

1.3 RBAC的定位：承上启下的权限中枢

RBAC（Role-Based Access Control）处于权限模型家族的中间位置：它既不极端粗放（如ACL直接挂用户），也不极端细碎（如ABAC按属性实时计算）。其核心定位是：

• 抽象层： 将「用户 ↔ 权限」的直接映射，转化为「用户 ↔ 角色 ↔ 权限」的三层结构。
• 复用层： 角色作为权限的「命名集合」，可以在多个用户间复用，降低管理熵值。
• 演进基座： 几乎所有现代权限系统（如ABAC、ReBAC）都在RBAC基础上叠加属性或关系扩展。

1.4 组件职责与信任链路

一个典型的RBAC系统由以下核心组件构成，每个组件承担明确的职责，并形成一条完整的信任链路：

信任链路流向： PEP 拦截用户请求 → PEP 向 PDP 发起鉴权请求 → PDP 从 PAP 加载策略 → PDP 计算决策 → PEP 执行决策 → 审计日志记录全过程。任何环节的信任断裂都会导致权限绕过或越权。

1.5 选型权衡：何时选RBAC，何时放弃

1.6 风险点与落地步骤

主要风险点

• 角色爆炸： 每个用户一个角色 → 失去抽象意义 → 退化为ACL。解决方案：角色继承 + 角色模板。
• 权限蔓延： 角色权限越加越多 → 角色失去语义 → 变成大杂烩。解决方案：定期角色审计 + 最小权限原则。
• 缓存与决策不一致： PDP 缓存了旧策略 → 用户拿到不该有的权限。解决方案：策略版本号 + 缓存主动失效。

落地五步法

1. 边界定义： 明确哪些资源需要权限保护，哪些是公开访问。
2. 角色提炼： 从业务职能中抽象角色，每个角色有明确的职责描述。
3. 权限映射： 为每个角色配置「资源 + 操作」的权限矩阵。
4. 策略分层： 粗粒度用RBAC，关键敏感操作叠加细粒度条件。
5. 持续审计： 上线后持续收集权限使用数据，优化角色定义。

1.7 验收标准

第1章的理论目标是否达成，可通过以下标准检验：