3. 后端权限矩阵架构：存储模型与 K8s RBAC 映射

后端权限矩阵是微服务架构中授权决策的核心。本章聚焦于后端服务中权限矩阵的存储模型设计，包括 RBAC 缓存策略、策略引擎的选型与实现，以及如何将业务权限模型映射到 Kubernetes RBAC 体系。理解这一层架构，是后续性能调优的基础。

3.1 权限矩阵存储模型总览

后端权限矩阵通常采用“用户 → 角色 → 权限”三层模型，但在实际落地时，存储结构会因性能与扩展性需求而分化。下表对比了三种主流存储模型：

3.2 RBAC 缓存策略设计

缓存是后端权限矩阵性能优化的第一道防线。以下是三种常用缓存策略及其适用条件：

• 全量缓存（Cache-Aside）： 启动时加载所有角色-权限映射到 Redis Hash 或本地 ConcurrentHashMap。适合角色数 < 10,000 的场景。
• 按用户缓存（User-Level Cache）： 以用户 ID 为 key，缓存该用户的所有角色与权限列表。适合用户权限相对稳定的业务。
• 分层缓存（L1 + L2）： L1 为本地内存（Caffeine），L2 为 Redis。L1 命中率可达 90% 以上，大幅降低网络开销。

3.3 策略引擎架构

当权限规则涉及属性、条件、时间窗口或资源层级时，传统 RBAC 模型难以表达。此时需要引入策略引擎。下图展示了基于 OPA（Open Policy Agent）的策略引擎架构：

3.4 与 K8s RBAC 的映射关系

后端权限矩阵需要与 Kubernetes RBAC 体系对齐，才能实现“业务权限”与“集群权限”的统一管理。映射关系分为三个层次：

实际映射时，后端服务通常通过 K8s API 代理 或 ServiceAccount Token 注入 实现。以下是一个典型的映射流程：

1. 后端服务启动时，读取自身 Pod 的 ServiceAccount 名称。
2. 通过 K8s API 查询该 ServiceAccount 绑定的 RoleBinding / ClusterRoleBinding。
3. 将 K8s ClusterRole 中的 verbs + resources 转换为后端权限矩阵中的 action + resource 格式。
4. 缓存映射结果，供后续权限决策使用。

// 从 K8s API 获取 ServiceAccount 绑定的 ClusterRole
func getClusterRoleForSA(clientset kubernetes.Interface, saName, namespace string) (*rbacv1.ClusterRole, error) {
    bindings, err := clientset.RbacV1().ClusterRoleBindings().List(context.TODO(), metav1.ListOptions{})
    if err != nil {
        return nil, err
    }
    for _, binding := range bindings.Items {
        for _, subject := range binding.Subjects {
            if subject.Kind == "ServiceAccount" && subject.Name == saName && subject.Namespace == namespace {
                role, err := clientset.RbacV1().ClusterRoles().Get(context.TODO(), binding.RoleRef.Name, metav1.GetOptions{})
                if err != nil {
                    return nil, err
                }
                return role, nil
            }
        }
    }
    return nil, fmt.Errorf("no ClusterRole found for SA %s", saName)
}

3.5 映射关系架构图

下图展示了后端权限矩阵与 K8s RBAC 之间的完整映射链路：

3.6 性能调优要点

• 减少 K8s API 调用： 每次权限决策都查询 K8s API 会导致严重的性能瓶颈。务必使用本地缓存 + 事件监听（Informer）机制，将 API 调用频率降低到分钟级。
• 缓存预热： 服务启动时，从 K8s API 拉取所有相关 RoleBinding 并构建权限矩阵缓存。避免冷启动时的首次请求延迟。
• 策略引擎预编译： 如果使用 OPA，将 Rego 策略预编译为二进制格式，减少运行时解析开销。同时启用 OPA 的“缓存决策”功能，相同输入直接返回缓存结果。
• 映射关系扁平化： 将多级角色继承关系在缓存层扁平化为“用户 → 权限列表”，避免每次决策都递归计算角色继承链。