2、RBAC模型基础：角色、权限、用户的关系，Go中RBAC的简单实现思路

2.1 核心概念与三元关系

RBAC（Role-Based Access Control，基于角色的访问控制）是权限领域最广泛应用的模型。其核心思想是将权限赋予角色，再将角色赋予用户，从而在用户与权限之间建立一层逻辑隔离。

概念	定义	示例
用户（User）	系统的操作主体，可以是人、服务账号或设备。	user_001（张三）
角色（Role）	权限的集合，代表一类职责或岗位。	admin、editor、viewer
权限（Permission）	对某个资源执行特定操作的许可。	article:create、article:delete

2.2 权限的粒度与命名规范

在RBAC落地时，权限通常采用资源:操作的二元组格式，便于程序解析与匹配。

资源	操作	权限标识	说明
article	create	article:create	创建文章
article	edit	article:edit	编辑文章（含自己及他人）
article	delete	article:delete	删除文章
user	manage	user:manage	用户管理（增删改查）
system	config	system:config	系统配置

2.3 Go中RBAC的简单实现思路

在Go中实现基础RBAC，核心是维护三张内存映射表：用户→角色、角色→权限、以及用户最终权限缓存。以下展示最简实现骨架：

// Permission 权限标识
type Permission string

// Role 角色定义
type Role struct {
    Name        string
    Permissions map[Permission]bool
}

// User 用户定义
type User struct {
    ID    string
    Roles []string
}

// RBAC 引擎
type RBAC struct {
    users  map[string]*User
    roles  map[string]*Role
    cache  map[string]map[Permission]bool // 用户ID -> 权限集合
}

// NewRBAC 初始化引擎
func NewRBAC() *RBAC {
    return &RBAC{
        users: make(map[string]*User),
        roles: make(map[string]*Role),
        cache: make(map[string]map[Permission]bool),
    }
}

// AddRole 添加角色并绑定权限
func (r *RBAC) AddRole(name string, perms []Permission) {
    role := &Role{Name: name, Permissions: make(map[Permission]bool)}
    for _, p := range perms {
        role.Permissions[p] = true
    }
    r.roles[name] = role
}

// AssignRole 为用户分配角色
func (r *RBAC) AssignRole(userID, roleName string) {
    user, ok := r.users[userID]
    if !ok {
        user = &User{ID: userID}
        r.users[userID] = user
    }
    user.Roles = append(user.Roles, roleName)
    delete(r.cache, userID) // 清除缓存，下次重新计算
}

// HasPermission 检查用户是否拥有某权限
func (r *RBAC) HasPermission(userID string, perm Permission) bool {
    // 优先从缓存读取
    if cached, ok := r.cache[userID]; ok {
        return cached[perm]
    }
    // 计算用户所有权限并缓存
    userPerms := make(map[Permission]bool)
    user, ok := r.users[userID]
    if !ok {
        return false
    }
    for _, roleName := range user.Roles {
        role, ok := r.roles[roleName]
        if !ok {
            continue
        }
        for p := range role.Permissions {
            userPerms[p] = true
        }
    }
    r.cache[userID] = userPerms
    return userPerms[perm]
}

2.4 权限验证流程

一次完整的权限验证请求在RBAC引擎中的执行路径如下：

1. 身份识别：从请求上下文（JWT/Session）中提取用户ID。
2. 权限查询：调用 HasPermission(userID, "article:create")。
3. 缓存命中：若用户权限已缓存，直接返回结果。
4. 角色遍历：遍历用户关联的所有角色，收集权限并集。
5. 写入缓存：将计算结果存入缓存，设置过期时间。
6. 返回决策：true 放行，false 拒绝并返回 403。

2.5 常见误区与避坑指南

• 误区一：用户直接绑定权限 —— 违背RBAC设计初衷，导致权限管理混乱。应始终通过角色中转。
• 误区二：角色数量膨胀 —— 每个用户一个角色等于没有角色。应抽象出通用岗位角色，如 admin、operator、auditor。
• 误区三：忽略缓存失效 —— 角色变更后未清除用户权限缓存，导致旧权限持续生效。务必在 AssignRole 和 RemoveRole 时删除对应缓存。
• 误区四：权限字符串硬编码 —— 在代码中到处写 "article:delete" 字符串，重构困难。建议定义为常量或使用枚举生成器。