3. 权限模型基础：RBAC、ABAC、PBAC 模型介绍、权限最小化原则、零信任架构基础

在微服务与契约测试的集成环境回放中，权限模型决定了“谁可以访问什么资源、在什么条件下可以执行什么操作”。错误的权限配置会导致测试回放失败、数据泄露或安全绕过。本节系统梳理三种主流权限模型，并建立权限最小化与零信任架构的认知基础。

3.1 三大权限模型对比

3.2 RBAC：基于角色的访问控制

RBAC 将权限分配给角色，用户通过被赋予角色获得权限。核心要素包括：用户（User）、角色（Role）、权限（Permission）、会话（Session）。

• 角色继承：上级角色自动包含下级角色的所有权限。
• 职责分离（SoD）：同一用户不能同时拥有互斥角色（如“审批人”与“申请人”）。
• 最小权限：每个角色只包含完成工作所需的最小权限集合。

// 契约测试中 RBAC 上下文模拟示例（Pact JVM）
@Pact(consumer = "order-service")
public V4Pact createPact(PactDslWithProvider builder) {
    return builder
        .given("用户具有 admin 角色")
        .uponReceiving("查询所有订单")
            .path("/api/orders")
            .header("Authorization", "Bearer ${adminToken}")
        .willRespondWith()
            .status(200)
            .body(new PactDslJsonArray()
                .object()
                    .stringType("orderId")
                    .stringType("status")
                .closeObject())
        .toPact();
}

3.3 ABAC：基于属性的访问控制

ABAC 使用属性（用户属性、资源属性、环境属性、操作属性）作为决策依据，不再依赖固定角色。决策引擎根据属性规则动态计算是否允许访问。

3.4 PBAC：基于策略的访问控制

PBAC 将权限决策抽象为策略（Policy），由策略引擎（如 OPA、Casbin、AWS IAM Policy）统一执行。策略通常使用声明式语言（Rego、JSON Policy）编写，支持复杂逻辑组合。

// OPA Rego 策略示例：仅允许管理员在办公时间删除订单
package authz

default allow = false

allow {
    input.user.role == "admin"
    input.operation == "delete"
    time.weekday(input.request_time) != "Saturday"
    time.weekday(input.request_time) != "Sunday"
    time.clock(input.request_time, [h, _, _])
    h >= 9
    h < 18
}

在契约测试中，PBAC 的集成回放需要模拟策略引擎的决策结果，而非直接调用真实引擎。常见做法是使用 WireMock 或 MockServer 对策略端点进行 stub。

3.5 权限最小化原则

权限最小化（Least Privilege）要求每个主体只拥有完成当前任务所必需的最小权限集合。在微服务与契约测试中，该原则体现在三个层面：

1. 服务间调用：每个服务只申请它需要调用的 API 权限，不申请“所有 API”。
2. 测试账号：集成环境回放使用的测试 token 只包含被测试接口所需的 scope，不包含 admin 权限。
3. 契约断言：consumer 契约只声明它实际使用的响应字段，不声明全部字段。

3.6 零信任架构基础

零信任（Zero Trust）的核心假设是“永不信任，始终验证”。在微服务集成环境中，零信任架构要求：

• 所有请求必须认证：无论请求来自内部服务还是外部客户端，都必须携带有效身份凭证。
• 最小权限访问：每个请求只获得完成该请求所需的最小权限。
• 持续验证：每次请求都重新评估权限，不缓存信任决策。
• 微分段：服务间通信通过 mTLS 加密，网络层面隔离。

零信任架构对契约测试的影响：

• 每个契约必须包含认证上下文（JWT、mTLS 证书）。
• provider 状态必须声明当前请求的认证主体身份。
• 回放环境必须模拟完整的认证链，不能跳过 token 校验。

3.7 权限模型在契约测试中的落地要点