4. 权限管理基础概念
在TMS（运输管理系统）中，权限管理不是简单的“谁能登录、谁能点按钮”，而是一套贯穿身份、角色、资源、操作与约束的完整控制体系。理解认证、授权、RBAC、ABAC、权限粒度与最小权限原则，是设计交易审批与权限矩阵的底层前提。本节将把这些概念拆解为可落地的设计语言。
一、认证与授权：先证明身份，再决定能做什么
认证（Authentication）解决的是“你是谁”。在TMS中，常见认证方式包括账号密码、短信验证码、企业SSO、OAuth2.0、LDAP对接等。认证的结果是系统确认了一个主体身份，例如“张三，所属承运商A，岗位为调度员”。
授权（Authorization）解决的是“你能做什么”。授权发生在认证之后，系统根据身份、角色、策略，判断该主体能否访问某个资源或执行某个操作。例如，张三可以创建运单，但不能审批超过50万元的运费结算。
关键区别：认证失败，用户无法进入系统；授权失败，用户已登录但操作被拒绝。TMS中大量“看不到菜单”“按钮置灰”“提交后报无权限”的问题，本质都是授权设计问题，而非认证问题。
二、RBAC模型：以角色为中心的权限分配
RBAC（Role-Based Access Control，基于角色的访问控制）是目前TMS中最主流的权限模型。它的核心思想是：不直接把权限授予用户，而是授予角色，再把角色分配给用户。
RBAC的基本结构包括：用户（User）、角色（Role）、权限（Permission）、资源（Resource）。典型关系为：一个用户可拥有多个角色，一个角色可包含多个权限，一个权限对应一个资源上的一个操作。
用户：张三
角色：调度员、审批人（金额≤50万）
权限：
- 运单：创建、查看、修改
- 运费结算：查看、审批（金额≤500000）
- 车辆：查看
RBAC的优势在于管理成本低、职责清晰，适合TMS中岗位相对固定的场景，如调度员、客服、财务、承运商管理员、审批经理等。但它也有局限：当权限需要根据“金额”“线路”“承运商归属”“时间段”等动态条件变化时，单纯RBAC会显得僵硬。
三、ABAC模型：以属性与策略为核心的精细控制
ABAC（Attribute-Based Access Control，基于属性的访问控制）通过主体属性、资源属性、环境属性和操作属性来动态判断权限。它不依赖固定角色，而是依赖策略表达式。
例如，一条ABAC策略可以写成：
允许 审批 运费结算单
当：
主体.岗位 = 财务经理
且 资源.金额 ≤ 1000000
且 资源.承运商 = 主体.所属承运商
且 环境.时间 在工作日 09:00-18:00
ABAC的优点是粒度细、动态性强，能表达“同角色不同数据范围”“同操作不同金额阈值”等复杂规则。缺点是策略数量多、调试复杂，对系统设计和运维要求更高。在TMS交易审批中，常见做法是RBAC与ABAC混合：用RBAC管理菜单和基础操作权限，用ABAC控制审批金额、数据范围与特殊条件。
四、权限粒度与最小权限原则
权限粒度决定了权限控制的精细程度。TMS中常见粒度从粗到细包括：
- 系统级：能否登录TMS、能否访问某个模块。
- 菜单级：能否看到“运单管理”“结算中心”菜单。
- 操作级：能否创建、修改、删除、审批、导出。
- 数据级：能否查看全部运单，还是只能查看本承运商或本部门的运单。
- 字段级：能否查看或修改敏感字段，如运费单价、客户联系方式、银行账号。
最小权限原则（Principle of Least Privilege）要求：任何用户、角色或系统进程，只应拥有完成其当前任务所必需的最小权限，且权限应在必要时限内有效。在TMS审批矩阵设计中，这意味着：
- 审批人只审批其职责范围内的单据，不默认拥有全量数据权限。
- 金额阈值、线路范围、承运商归属应作为审批路由条件，而非简单按角色放行。
- 临时权限应设置有效期，到期自动回收。
- 敏感操作应记录审计日志，支持事后追溯。
| 概念 | 核心问题 | TMS中的典型表现 | 设计要点 |
|---|---|---|---|
| 认证 | 你是谁？ | 登录、SSO、验证码 | 身份唯一、可追溯 |
| 授权 | 你能做什么？ | 菜单可见性、按钮可用性 | 先认证后授权，拒绝优先 |
| RBAC | 你是什么角色？ | 调度员、财务、审批经理 | 角色职责清晰，避免角色爆炸 |
| ABAC | 当前条件是否满足？ | 金额阈值、承运商归属、时间 | 策略可读、可测试、可审计 |
| 权限粒度 | 控制到多细？ | 菜单、操作、数据、字段 | 按业务风险选择粒度 |
| 最小权限 | 是否只给了必需权限？ | 审批范围受限、临时权限回收 | 默认拒绝，按需授权 |
五、常见误区与复盘
误区一：把认证当授权。认为“能登录就能操作”，导致所有登录用户拥有过大权限。正确做法是认证与授权分离，登录成功后仍需逐项校验权限。
误区二：角色越多越精细。为每个用户建一个角色，导致角色爆炸、维护困难。应优先用ABAC策略表达动态条件，而不是无限拆分角色。
误区三：忽视数据级权限。只控制菜单和按钮，导致承运商A能看到承运商B的运单。TMS中数据隔离是合规底线。
误区四：最小权限只写在制度里。系统默认给了全量权限，靠人工自觉。正确做法是系统默认拒绝，按角色和策略显式授权。
复盘建议：在TMS权限矩阵评审时，逐条追问三个问题——这个权限是否必需？这个数据范围是否最小？这个权限是否有有效期和审计记录？三问通过，权限设计才算合格。
掌握认证、授权、RBAC、ABAC、权限粒度与最小权限原则后，下一步才能把这些概念转化为可执行的审批矩阵：谁在什么条件下、对什么资源、执行什么操作、经过几级审批、留下什么记录。这是TMS交易审批设计的核心骨架。