3、安全权限模型设计：RBAC/ABAC模型选择、权限粒度（策略级/数据级/API级）

在智能寻源算法平台中，品类策略的配置、执行与调试涉及敏感的业务规则与供应商数据。安全权限模型的设计直接决定了谁可以查看、修改或执行特定策略。本节将系统对比RBAC（基于角色的访问控制）与ABAC（基于属性的访问控制）两种主流模型，并深入分析权限粒度的三个关键层级：策略级、数据级与API级。

3.1 RBAC vs ABAC：模型选择与对比

RBAC通过“用户→角色→权限”的静态映射实现访问控制，适合角色体系稳定、权限变化不频繁的场景。ABAC则基于用户、资源、环境等多维属性动态计算权限，适合需要细粒度、上下文感知控制的复杂业务。

3.2 权限粒度三层模型

权限粒度决定了控制的最小单元。在品类策略安全模型中，我们将其划分为三个层级：策略级、数据级与API级。每一层解决不同维度的访问控制问题。

• 策略级（Policy-Level）：控制用户能否访问某个品类策略的元数据（如策略名称、版本、配置参数）。这是最基础的权限边界。
• 数据级（Data-Level）：控制用户能否查看或操作策略关联的具体数据（如供应商报价、历史成交价、品类属性）。数据级权限通常与业务隔离强相关。
• API级（API-Level）：控制用户能否调用特定API端点（如执行策略、触发寻源、导出报告）。API级权限是运行时安全的最后一道防线。

3.3 权限模型在品类策略中的具体实现

以下是一个基于RBAC+ABAC混合模型的权限配置示例，展示如何为不同角色定义策略级、数据级与API级权限。

// 权限配置示例（JSON格式）
{
  "roles": {
    "品类经理": {
      "policy_level": ["view", "edit", "publish"],
      "data_level": {
        "scope": "own_category",        // 仅自己负责的品类
        "attributes": ["price", "supplier", "history"]
      },
      "api_level": ["execute_strategy", "trigger_sourcing", "export_report"]
    },
    "策略分析师": {
      "policy_level": ["view", "edit"],
      "data_level": {
        "scope": "assigned_category",   // 被分配的品类
        "attributes": ["price", "history"]
      },
      "api_level": ["execute_strategy", "export_report"]
    },
    "审计员": {
      "policy_level": ["view"],
      "data_level": {
        "scope": "all_category",        // 所有品类
        "attributes": ["history"]       // 仅历史数据
      },
      "api_level": ["view_logs", "export_audit"]
    }
  },
  "abac_rules": [
    {
      "name": "临时调试权限",
      "condition": "user.department == 'algorithm' AND resource.category == '电子元器件' AND environment.time BETWEEN '09:00' AND '18:00'",
      "grant": ["policy_level:view", "data_level:price", "api_level:execute_strategy"]
    }
  ]
}

3.4 权限异常调试与审计

权限异常是智能寻源平台中最常见的故障类型之一。当用户无法执行某个品类策略时，需要快速定位是哪个层级的权限被拒绝。建议在权限校验的每一层埋入调试日志，记录以下信息：

• 用户身份：用户ID、所属角色、关联ABAC属性。
• 目标资源：策略ID、品类ID、请求的API端点。
• 校验结果：策略级通过/拒绝、数据级通过/拒绝、API级通过/拒绝。
• 拒绝原因：缺少角色、属性不匹配、超出数据范围、API未授权。

3.5 最佳实践与避坑指南

• 最小权限原则：每个角色只赋予完成工作所需的最小权限集，避免“品类经理”角色拥有跨品类数据访问权限。
• 权限缓存策略：对于RBAC角色权限，可缓存5-10分钟；对于ABAC动态权限，建议实时计算或短缓存（1分钟以内），防止属性变更后权限未及时更新。
• 权限变更审计：所有权限配置的修改（角色新增、属性规则变更、API授权调整）必须记录操作人、时间、变更前后内容，并支持回滚。
• 避免权限膨胀：定期审查角色与ABAC规则，移除不再使用的权限条目。建议每季度进行一次权限清理。
• 调试接口安全：权限调试日志接口必须单独授权，仅允许安全管理员与平台运维人员访问，防止敏感权限信息泄露。