3. 接口权限隔离的设计思路
接口权限隔离这事儿，说起来很简单：让该访问的人能访问，不该访问的人连门都摸不着。但落地的时候，坑比想象的多得多。
我个人习惯把隔离拆成三个阶段：设计时、运行时、审计时。三个阶段都做到位了，零信任的"持续验证"才算真正落地。
核心原则：接口权限隔离不是加一层过滤器就完事了。它需要从接口定义开始，贯穿整个请求生命周期。
3.1 隔离的核心维度
我们先看四个维度。这四个维度搞不清楚，后面做RBAC也是白搭。
| 维度 | 说明 | 常见误区 |
|---|---|---|
| 身份维度 | 谁在请求？用户、服务账号、还是第三方应用？ | 只校验，不校验中的身份上下文 |
| 资源维度 | 请求的是什么接口？什么数据？ | 接口路径校验了，但HTTP方法没校验 |
| 环境维度 | 请求从哪里来？IP、设备、时间、网络？ | 只信IP，不验证设备指纹 |
| 行为维度 | 请求频率、操作顺序、数据量是否异常？ | 静态规则做得漂亮，动态风控完全是空的 |
这四个维度，我个人建议至少前两个是必选项。环境和行为属于加分项，但现在很多成熟方案已经把它们纳入核心了。
避坑指南：我之前接手过一个项目，他们说"做了接口隔离"。结果发现只校验了JWT是否过期，连签名都没验。攻击者随便伪造一个就能调用所有接口。嗯，这其实等于没做。
3.2 用户身份与接口绑定
权限隔离的第一步，是搞清楚"谁"能访问"哪个接口"。这听起来像废话，但我见过不少团队把用户角色和接口之间的绑定关系写死在代码里。
// 千万别这么干！
if (user.getRole() == "admin") {
deleteUser(userId); // 硬编码，可维护性极差
}
我自己习惯的做法，是把绑定关系抽离成配置或策略。你想想看，一个系统有几十上百个接口，硬编码的方式改一次权限就得重新部署，太可怕了。
这里有个典型的绑定关系模型：
- 用户 → 角色：用户可以有多个角色，就像一个人既是"运营"又是"管理员"。
- 角色 → 权限：每个角色关联一组权限，比如"删除用户"、"查看订单"。
- 权限 → 接口：一个权限可以对应一个或多个接口，比如"查看订单"对应
GET /orders/{id}。
这个模型看着简单，但层层解耦之后，权限调整就不需要改代码了，改下配置就行。
注意：绑定关系不要搞得太细。我见过有人把每个HTTP动词都当作一个独立权限，结果角色配置页面拉都拉不到底。适度抽象很关键。
3.3 运行时的动态权限校验
设计做得再好，运行时的校验才是真刀真枪的战场。我曾经在一个金融项目中踩过一个大坑：权限校验只做了一次，放在网关层。结果后续微服务之间的调用完全裸奔。
正确的做法是分层校验：
- 网关层：验身份、验基础权限、验。
- 服务层：验业务权限，比如"这个用户可以删除自己的订单吗？"
- 数据层：验数据权限，比如"这个用户只能看到自己部门的数据"。
说白了，网关层拦住的是"非法请求"，服务层拦住的是"越权请求"，数据层拦住的是"越权数据"。三层全部通过，才算通过。
一个小技巧：运行时校验建议用中间件模式，不要污染业务代码。我曾经看到有人在每个Controller方法里写一段权限校验逻辑，复制粘贴得飞起。后来改成注解+中间件，清爽多了。
3.4 细粒度权限建模
传统的RBAC模型其实只解决了"角色到权限"的问题。但在零信任场景下，数据权限也是个绕不过去的坎。
举个例子：用户A和用户B都是"销售"角色，都能访问"订单列表"接口。但A只能看华北区的订单，B只能看华东区。这时候接口级别的隔离就不够了。
我推荐用策略模式做数据权限过滤：
// 伪代码示意
public class OrderDataFilter {
public void apply(Query query, UserContext context) {
// 根据用户角色和部门，自动追加数据过滤条件
if (context.hasPermission("order:view:region")) {
query.addFilter("region", context.getRegion());
}
// 如果是管理员，不做数据过滤
}
}
当然，细粒度权限意味着更复杂的配置和管理。我的建议是：先做粗粒度，再根据实际需求细化。不要一上来就想把数据权限做得面面俱到，那样项目很可能进展不下去。
3.5 整体设计框架
说了这么多，我们来画个图，把接口权限隔离的整体框架捋一捋。
这个框架图展示了四个核心层级。每一层都在做隔离，但粒度在变细。我个人觉得，很多团队只做到了第二层，甚至只做到了第一层，然后就觉得"安全了"。实际上攻击者只要突破网关层，内部就是一片坦途。
我的建议：先保证网关层和服务层做到位，数据层可以后续迭代。但别忘了——审计日志从第一天就要开始。没有日志的权限隔离，出了问题连回溯都做不到。
3.6 落地时的心态
最后聊点经验之外的感受。接口权限隔离这个事，说白了是个博弈。安全团队觉得越严越好，业务团队觉得越灵活越好。你作为技术负责人，得在这之间找到平衡。
我记得有一次，业务方非要加一个"超级接口"，说某个场景下需要绕过权限校验直接操作数据。我没有直接拒绝，而是跟他们约定：这个接口只在灰度环境开放，而且所有调用都会触发实时告警。最后他们自己都不敢用了。
嗯，很多时候，技术的方案是次要的，怎么推动落地才是关键。先让接口权限隔离这件事变得"好用"，再让它变得"好安全"。