3. 权限模型基础：RBAC、ABAC、PBAC 模型对比、最小权限原则、权限模型在网关中的落地

权限模型是权限审计网关的核心理论基石。选择错误的模型会导致权限膨胀、审计日志缺失或性能瓶颈。本章从模型对比、设计原则、网关落地三个维度展开，帮助你在 Go 网关项目中做出正确的架构决策。

3.1 三大主流权限模型对比

当前工业界最常用的权限模型包括 RBAC（基于角色的访问控制）、ABAC（基于属性的访问控制） 和 PBAC（基于策略的访问控制）。三者在抽象层级、动态能力和实现复杂度上存在显著差异。

3.2 最小权限原则（Principle of Least Privilege）

最小权限原则要求每个主体（用户、服务、进程）只拥有完成其任务所必需的最小权限集合。在网关审计场景中，该原则直接决定了审计日志的“有效信号”密度。

• 权限收敛： 默认拒绝所有请求，仅显式放行已授权的操作。
• 时间窗口： 临时权限应设置 TTL，过期自动回收。
• 上下文绑定： 权限必须与来源 IP、设备指纹、请求路径等上下文绑定，防止权限漂移。
• 审计触发： 每次权限提升或临时授权必须生成独立审计事件。

3.3 权限模型在网关中的落地架构

在 Go 权限审计网关中，权限决策引擎通常位于 中间件层，在请求路由之后、业务转发之前执行。下图展示了三种模型在网关中的典型部署位置与数据流。

3.4 Go 网关中的 PBAC 策略示例

以下是一个基于 OPA（Open Policy Agent）的 PBAC 策略片段，展示如何在 Go 网关中实现细粒度 API 权限控制：

// policy.rego - OPA 策略文件
package gateway.authz

import future.keywords.if
import future.keywords.in

# 默认拒绝
default allow = false

# 允许条件：用户角色匹配 API 所需角色，且请求时间在允许窗口内
allow if {
    input.role == input.api.required_role
    input.time >= input.api.window_start
    input.time <= input.api.window_end
}

# 审计上下文：记录决策原因
audit_context = {"decision": "allow", "matched_policy": "role_time_window"} if allow
audit_context = {"decision": "deny", "reason": "role_mismatch_or_time_out"} if not allow

// Go 网关中间件调用 OPA
package middleware

import (
    "context"
    "encoding/json"
    "net/http"
    "github.com/open-policy-agent/opa/rego"
)

func AuthzMiddleware(next http.Handler) http.Handler {
    return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
        input := map[string]interface{}{
            "role": r.Header.Get("X-User-Role"),
            "api": map[string]interface{}{
                "required_role": r.Header.Get("X-API-Required-Role"),
                "window_start":  "08:00",
                "window_end":    "20:00",
            },
            "time": r.Header.Get("X-Request-Time"),
        }

        result, err := rego.New(
            rego.Query("data.gateway.authz.allow"),
            rego.Input(input),
        ).Eval(context.Background())

        if err != nil || len(result) == 0 || !result[0].Expression.Value.(bool) {
            http.Error(w, "Forbidden", http.StatusForbidden)
            return
        }
        next.ServeHTTP(w, r)
    })
}

3.5 权限审计基线的关键检查点

在网关中落地权限模型时，审计基线必须覆盖以下检查点：

1. 身份解析： 是否从 JWT/mTLS/Session 中正确提取主体标识？
2. 角色/属性映射： 角色层级是否扁平？属性来源是否可信（仅从网关解析，不信任客户端传入）？
3. 策略加载： 策略是否支持热更新？更新后是否立即生效？
4. 决策日志： 每次决策是否记录：时间、主体、资源、动作、决策结果、匹配策略 ID？
5. 异常检测： 是否对连续拒绝、权限提升、非工作时间访问生成告警？