4. 权限模型设计：RBAC、ABAC 模型对比与网关抽象

在权限审计网关中，权限模型是决定“谁（Who）能对什么（What）执行何种操作（How）”的核心逻辑。本章深入对比两种主流模型——RBAC（基于角色的访问控制）与ABAC（基于属性的访问控制），并阐述如何在网关层进行统一的抽象表示。

4.1 RBAC 模型：角色驱动的静态权限

RBAC 通过“用户 → 角色 → 权限”的映射关系实现访问控制。其核心思想是将权限授予角色，再将角色授予用户，从而简化权限管理。

4.2 ABAC 模型：属性驱动的动态权限

ABAC 基于主体（Subject）、资源（Resource）、动作（Action）和环境（Environment）四类属性进行动态评估。其粒度更细，能够处理复杂的上下文敏感场景。

4.3 RBAC vs ABAC 核心对比

4.4 网关中的统一抽象表示

为了兼顾 RBAC 的简洁性与 ABAC 的灵活性，权限审计网关通常采用分层抽象架构：底层支持 RBAC 快速过滤，上层通过 ABAC 策略引擎进行精细化裁决。

4.5 Go 语言中的抽象实现

在网关代码中，我们通过接口抽象统一两种模型。以下是一个精简的权限评估器接口定义：

// PermissionEvaluator 权限评估器接口
type PermissionEvaluator interface {
    // Evaluate 评估请求是否具有指定权限
    // 返回 true 表示允许，false 表示拒绝
    Evaluate(ctx context.Context, req *PermissionRequest) (bool, error)
}

// PermissionRequest 权限请求上下文
type PermissionRequest struct {
    UserID    string                 // 用户 ID
    Roles     []string               // 用户角色列表（RBAC 使用）
    Action    string                 // 请求动作（如 "read", "write"）
    Resource  string                 // 资源标识（如 "article:123"）
    Attributes map[string]interface{} // 扩展属性（ABAC 使用）
    Env       map[string]interface{} // 环境属性（ABAC 使用）
}

// RBACEvaluator RBAC 实现
type RBACEvaluator struct {
    rolePerms map[string]map[string]bool // role -> action:resource -> allow
}

func (e *RBACEvaluator) Evaluate(ctx context.Context, req *PermissionRequest) (bool, error) {
    key := req.Action + ":" + req.Resource
    for _, role := range req.Roles {
        if perms, ok := e.rolePerms[role]; ok {
            if allowed, ok := perms[key]; ok {
                return allowed, nil
            }
        }
    }
    return false, nil // 默认拒绝
}

// ABACEvaluator ABAC 实现（使用 CEL 引擎示例）
type ABACEvaluator struct {
    policies []*Policy
}

func (e *ABACEvaluator) Evaluate(ctx context.Context, req *PermissionRequest) (bool, error) {
    for _, p := range e.policies {
        if p.Matches(req) {
            return p.Effect == EffectAllow, nil
        }
    }
    return false, nil
}

4.6 模型选择决策树

在实际网关设计中，可根据以下条件快速选择主导模型：

1. 角色数量是否 < 50？ → 是：优先 RBAC；否：考虑 ABAC
2. 权限变更频率是否 > 每天 10 次？ → 是：ABAC 更灵活；否：RBAC 更稳定
3. 是否需要根据时间、IP 等环境因素控制访问？ → 是：必须引入 ABAC；否：RBAC 足够
4. 审计日志是否需要记录每次决策的详细属性？ → 是：ABAC 天然支持；否：RBAC 可简化
5. 团队是否有运维能力维护策略 DSL？ → 是：可上 ABAC；否：建议 RBAC + 少量 ABAC 扩展