4. 动态授权模型介绍：静态 vs 动态授权、ABAC、RBAC 在动态场景中的演化
好，咱们进入正题。前面几章铺垫了输出控制策略的基础概念，这一章，我想聊聊授权模型本身。为什么需要动态授权？静态授权不能满足了吗？其实不是“不能”，而是“不够”。我刚开始接触 SDK 权限设计时，也觉得静态授权够用了——用户授权一次，一直用，多省事。但后来发现，在隐私增强共享场景里，用户的心意是会变的，你想想看。
4.1 静态授权 vs 动态授权
说白了，静态授权就是一次性授权。用户点一下“同意”，好，这个应用的权限就定死了。比如某个相册 SDK 要读取你的照片，你给了读权限，它就永远能读。这在传统应用里是常态。
但隐私增强共享不一样。用户今天想让你读照片，明天可能就不想了。或者你今天只允许你读最近10张照片，过两天你读第11张，用户可能就不乐意了。静态授权在这种场景下，就显得很笨拙。
| 对比维度 | 静态授权 | 动态授权 |
|---|---|---|
| 权限生效时间 | 授权时确定，持续有效 | 每次访问时重新评估 |
| 策略变更 | 需用户手动撤销 | 由策略引擎实时调整 |
| 适用场景 | 低隐私敏感度、临时任务 | 高隐私敏感度、持续共享 |
| 审计追溯 | 一次性记录 | 每次访问都有上下文 |
关键点：动态授权并不是全盘否定静态授权。我建议的做法是：静态授权做基础准入，动态授权做精细管控。两者不是替代关系，而是互补关系。
4.2 RBAC 在动态场景中的不足
RBAC（基于角色的访问控制）是业界的老大哥了。一个用户一个角色，角色绑权限，简单直接。我在好几个项目里都用过 RBAC，确实好用。但用着用着就会发现一个问题——它不够细。
举个例子。RBAC 的逻辑是：角色 A 可以“读取照片”这个资源。但在动态共享场景里，需求变成了：角色 A 可以“读取照片，但仅限今天生成的、分辨率低于1024x768的、且不包含人脸的照片”。这些条件加起来，RBAC 的角色列表就会打爆。你不可能为每种组合都定义一个角色。
为什么会这样？因为 RBAC 的核心是预定义。角色是什么、权限是什么，在系统设计时就已经定好了。但动态场景里的上下文（时间、地点、数据属性、用户状态）是运行时才出现的。RBAC 没法处理运行时突发的新条件。
避坑指南：我曾经在一个海外隐私项目中强推纯 RBAC，结果光角色定义就写了200多个。上线后用户还是投诉“为什么我关掉了权限，但 SDK 还在读”。嗯，从那以后我就学乖了——RBAC 做基底可以，但做精细化管控，得换思路。
4.3 ABAC 的引入及其演化
ABAC（基于属性的访问控制）就解决了这个问题。它不是依靠角色，而是依靠属性。属性能有多细？用户属性（年龄、地区、偏好）、资源属性（创建时间、文件类型、标签）、环境属性（时间、地点、网络状态）。ABAC 把这些属性组合成策略，每次访问时实时计算。
逻辑其实很简单：
if (用户.地区 == "欧盟" AND 资源.创建时间 > "2024-01-01" AND 环境.时间 > "08:00" AND 环境.时间 < "22:00")
then 允许读取
else
拒绝并记录
你看，这个策略没有定义死的角色。每个用户的权限是根据他当时的属性动态算出来的。这就是 ABAC 的威力。我自己在做一个照片共享 SDK 时，就用了 ABAC 来处理“家庭相册只允许家庭成员在晚上查看”的需求。
不过，ABAC 也不是银弹。它最大的问题就是策略复杂度。属性和条件一多，策略引擎的性能就会下降。我见过一个团队，写了500多条策略，结果每次授权决策要3秒——用户点一下分享照片，等3秒才弹窗，体验可想而知。
4.4 动态授权模型的演化路线
从 RBAC 到 ABAC，并不是一步到位的。实际项目里，我看到更多的是混搭模型。比如用 RBAC 负责大的权限范围（角色归属），用 ABAC 做细粒度规则（属性过滤）。这就是 RBAC + ABAC 的组合模型，也是目前隐私增强共享场景下的主流方案。
个人经验：我建议初期先跑通 RBAC 的静态基线，再加入少量的 ABAC 策略做动态限制。不要一上来就全量 ABAC——你学不完策略，用户也看不懂为什么权限变来变去。
下面这张图我画了四种授权模型在动态场景中的位置关系，从最笨的静态到最灵活的 ABAC，标注了各自擅长做什么、不擅长做什么。
4.5 动态授权模型的核心优势
最后总结一下，为什么我们非要用动态授权来做隐私增强共享？
- 上下文感知：用户早上的行为和晚上的行为不一样。动态授权能根据当前时间、位置、关系程度，判定是否给权。
- 细粒度控制：不再是“允许读取全部照片”，而是“只允许读取今天创建、不含人脸、分辨率低于1080p的照片”。用户能理解，SDK也能执行。
- 策略热更新：不需要用户重新授权，也不需要更新 SDK 版本。策略引擎直接拉最新规则，下次访问时生效。
- 审计追溯：每次授权都带着上下文，谁、什么时候、在什么条件下、读了什么数据，全有记录。隐私合规审计完全不怕。
小技巧：做动态授权时，我建议把策略和策略引擎分开设计。策略存为 JSON 或 DSL 文件，方便业务方调整；策略引擎则专注执行。这样改动策略时不需要动代码，上线速度能快很多。
好了，这一章我主要讲了静态授权和动态授权的区别，以及 RBAC 和 ABAC 在动态场景下的演化路径。说白了，动态授权就是“用上下文代替角色，用策略代替定义”。选型的时候，别贪心，从你实际的隐私敏感度出发，一步一步来。