访问控制模型基础：RBAC模型、ABAC模型、权限矩阵构建、最小权限原则
章节定位：访问控制模型是授权安全测试的理论基石。本章系统梳理四种核心概念，建立“模型选型 → 矩阵构建 → 最小化裁剪”的完整认知链路，为后续测试用例设计提供标准参照系。
适用场景
本章知识适用于以下四类典型场景，测试人员需根据实际业务选择对应模型或组合方案：
- 场景A — 企业级权限体系设计：组织架构复杂、角色分层明确，优先采用 RBAC 模型进行角色-权限映射。
- 场景B — 动态/细粒度访问需求：权限判定依赖用户属性、资源标签或环境上下文（如时间、位置），必须引入 ABAC 模型。
- 场景C — 权限审计与合规检查：需要以矩阵形式可视化呈现“谁-能做什么-对什么资源”，便于合规审查与差距分析。
- 场景D — 权限风险收敛：新系统上线或旧系统改造时，需按照最小权限原则裁剪超范围授权，降低攻击面。
前置条件
开始本章学习前，应具备以下基础：
- 理解基本安全概念：身份认证、授权、会话管理。
- 熟悉组织常见业务角色（如管理员、操作员、审计员、访客）及其职责边界。
- 能够区分“用户”“角色”“权限”“资源”四个核心术语。
- 具备基础的 JSON/YAML 配置阅读能力（用于策略表达）。
操作步骤
按照“模型选型 → 策略定义 → 矩阵落地 → 最小化裁剪”四步流程，逐步建立访问控制基础体系。
步骤 1：基于 RBAC 模型梳理角色-权限映射
识别组织中的业务角色，明确每个角色允许执行的操作集合。
{
"roles": {
"system_admin": ["resource:all", "action:all"],
"security_auditor": ["resource:log", "action:read"],
"business_operator": ["resource:order", "action:read|write"],
"readonly_user": ["resource:report", "action:read"]
}
}产出物：角色-权限映射表（含角色名、资源范围、操作类型）。
步骤 2：基于 ABAC 模型定义属性策略
梳理用户属性（部门、职级、区域）、资源属性（密级、分类）、环境属性（时间、网络位置），编写策略规则。
{
"policy_id": "P_ACCESS_DOC",
"effect": "allow",
"condition": {
"user.department == resource.department",
"&& user.level >= resource.security_level",
"&& environment.time BETWEEN 08:00 AND 18:00"
}
}产出物：ABAC 策略定义文档（含属性字典与策略表达式）。
步骤 3：构建权限矩阵
以“主体（角色/用户） × 客体（资源） × 操作”为三维坐标，绘制完整权限矩阵，确保无遗漏无冲突。
| 主体 / 角色 | 订单系统 | 用户管理 | 审计日志 | 报表中心 |
|---|---|---|---|---|
| 系统管理员 | 增删改查 | 增删改查 | 增删改查 | 增删改查 |
| 安全审计员 | 查（只读） | 查（只读） | 查（只读） | 查（只读） |
| 业务操作员 | 增删改查 | 无权限 | 无权限 | 查（只读） |
| 只读用户 | 查（只读） | 无权限 | 无权限 | 查（只读） |
产出物：权限矩阵表（Excel 或 SVN 版本管理）。
步骤 4：实施最小权限原则
逐角色/逐用户审查权限矩阵，关闭以下三类超范围授权：
- 跨域权限：非本部门资源操作权限。
- 提权路径：普通角色拥有“写”或“删”等高危操作。
- 默认全开：初始化阶段未做裁剪的“管理员”权限。
裁剪基线：每个角色权限条目数 ≤ 业务实际需求条目数 × 1.1（预留10%弹性）。超过此阈值需触发二次审批。
产出物：权限裁剪报告（含裁剪前后对比、风险条目处理记录）。
输入输出物
| 类别 | 名称 | 格式/载体 | 责任方 |
|---|---|---|---|
| 输入 | 业务角色清单 | Excel / HR 系统 | 业务负责人 |
| 输入 | 资源分类清单 | Excel / CMDB | 系统架构师 |
| 输出 | 角色-权限映射表 | Excel / JSON | 安全架构师 |
| 输出 | ABAC 策略定义文档 | YAML / JSON | 安全架构师 |
| 输出 | 权限矩阵表 | Excel / Wiki | 安全架构师 |
| 输出 | 权限裁剪报告 | PDF / Word | 安全测试工程师 |
责任边界
| 角色 | 职责范围 | 关键交付物 |
|---|---|---|
| 安全架构师 | 访问控制模型选型、策略框架设计、矩阵模板制定 | 策略设计文档、矩阵模板 |
| 系统管理员 | 权限配置实施、角色创建与绑定、策略引擎部署 | 配置变更记录、系统权限快照 |
| 业务负责人 | 提供真实业务角色清单、确认权限需求的合理性 | 业务角色清单、权限需求确认单 |
| 安全测试工程师 | 权限矩阵有效性验证、最小权限合规检查、风险条目标注 | 权限裁剪报告、测试用例 |
| 审计人员 | 权限分配合规性审核、矩阵与策略一致性抽查 | 审计报告、整改建议 |
记录材料
以下记录需纳入安全基线仓库，作为后续测试与审计的追溯依据：
- 角色定义与权限分配记录 — 含角色名称、所属域、权限列表、审批人、生效日期。
- ABAC 策略发布记录 — 含策略ID、版本号、变更摘要、部署时间。
- 权限矩阵审核记录 — 含审核日期、审核人、发现条目数、处置状态。
- 最小权限裁剪操作日志 — 含裁剪前权限快照、裁剪操作人、裁剪理由、复审结果。
异常处理
| 异常场景 | 现象 | 处理措施 |
|---|---|---|
| 角色爆炸 | RBAC 角色数量超过 50 个，角色粒度与业务角色无法一一对应 | 引入角色层次结构（父角色继承子角色），或合并职责相似的角色 |
| ABAC 策略冲突 | 多条策略同时命中同一请求，但效果相互矛盾（允许 vs 拒绝） | 建立策略优先级机制（如 deny-override / allow-override），并记录冲突日志 |
| 权限矩阵冗余 | 同一主体-客体-操作组合在矩阵中出现多次，取值不一致 | 使用矩阵去重工具（如 Python pandas）扫描，取“拒绝”为默认值，保留显式允许 |
| 最小权限过度裁剪 | 权限收敛后业务操作频繁报 403，影响正常流程 | 建立“权限熔断”机制：临时放行并记录，48 小时内完成审批补充 |
关键提醒：RBAC 与 ABAC 并非互斥。在实际大型系统中，推荐使用 RBAC 做粗粒度角色分层，ABAC 做细粒度动态策略，二者组合可兼顾效率与灵活性。权限矩阵和最小原则是贯穿所有模型的通用落地手段，而非某个模型的专属产物。
验收标准
完成本章学习后，应达到以下验收标准，方可进入下一章节：
- 能独立绘制包含至少 4 个角色、6 项资源的权限矩阵，且无冲突条目。
- 能编写至少 2 条 ABAC 策略（一条允许、一条拒绝），并在思维推演中验证其效果。
- 能对给定的角色权限列表实施最小权限裁剪，裁剪后权限条目数减少 ≥ 30%。
- 能准确判断一个访问控制场景适用 RBAC 还是 ABAC，并解释理由。
- 输出文档齐全：角色-权限映射表、ABAC 策略文档、权限矩阵表、权限裁剪报告。