策略決定了用戶如何與不同功能的應用程序交互。反過來也就是說，無論設計什麽樣的權限管理模式，都是基於這三個基本要素。
本文重點介紹了目前應用最廣泛的RBAC模型，但這裏提出了三個基本要素，主要是為了幫助妳更好地理解權限管理，不要在眾多的權限模型中迷失方向。
不同的公司或軟件提供商設計了無數的方法來控制用戶對功能或資源的訪問。然而，無論是哪種設計，都可以歸納為四種經典的訪問模型——自主訪問控制(DAC)、強制訪問控制(MAC)、基於角色的訪問控制(RBAC)和基於屬性的訪問控制(ABAC)。
我覺得翻譯的不好，但是找不到更合適的。本文以下內容全部替換為英文首字母:DAC、MAC、RBAC、ABAC)。
本文主要分析基於RBAC的該模型的使用場景，以及如何基於該模型設計合適的權限管理系統。不過，從文章的完整性來看，DAC、MAC和ABAC將會簡單介紹壹下。
DAC:被操縱對象根據訪問控制規則判斷操作員可以對被操縱對象進行什麽操作，比如只讀或可寫權限。自治的含義是擁有壹定權限的用戶可以將權限授予其他用戶。
MAC:被操作對象和用戶都有自己的權限標識。用戶是否可以操作該對象取決於權限標識符的比較。這種模式多用於層級明顯，對信息訪問安全要求高的場景，比如軍事。
ABAC和RBAC有很多共同點，相比較而言，ABAC其實更靈活，更符合未來的發展方向。因此，在分析了RBAC之後，我們將回頭看看ABAC。
基於角色的訪問控制，壹種基於角色的訪問控制模型。
顧名思義，為用戶定義角色，通過角色控制權限。目前，基於角色的訪問控制模型是壹種廣泛使用的模型。尤其是在B2B SAAS領域，應用尤為普遍。
如上圖，用戶有角色，也可以有多個角色，每個角色對應不同的權限。
這樣做的好處是不需要為每個用戶配置權限，具有很大的靈活性和方便性。當用戶和權限的量級達到另壹個級別時，引入角色組和權限組的概念，此處不做擴展。有興趣的讀者可以搜索壹些資料看看。
我們已經知道什麽是RBAC模式。在分析如何根據這個模型設計權限系統之前，我們先把模型元素再拆分壹下。
首先是:用戶、角色和權限。
權限，具體到某個軟件，其實包括兩個方面。壹個是菜單權限，壹個是數據權限。
不同的行業會有不同的使用場景，用戶角色權限模型也會有不同程度的變化。但在底部，還是離不開我上面畫的圖。
上圖是從官網看到的，是銷售自動化領域典型的用戶權限管理設計。
接下來我們抽象壹個場景或者案例，幫助我們理解權限管理設計的全過程。假設A公司是壹家中大型制造企業，擁有OA、HR、CRM、ERP等壹系列管理軟件。公司有幾萬名員工，不同的人員有不同的職責，體現在管理軟件上，就是會需要使用不同的功能來完成工作。
賬號是人與軟件交互時的壹種身份轉換。賬號後面，代表的是操作這個的人。賬號管理應該是對所有需要與系統交互的人進行統壹管理，包括基本信息，比如這個人的姓名、性別、手機號、部門等屬性。
角色管理是根據實際情況而定的，比如:使用系統的企業或集團，使用什麽樣的角色——也就是什麽樣的人需要不同的業務菜單和業務數據。
角色管理說到底就是把這個角色對應的人所需要的菜單和功能分配給壹個組。為每個操作組定義不同的名稱，即角色名稱。
當然，這個角色管理不僅規定了這個角色的人平時可以查看哪些功能，還規定了這個角色可以查看哪些範圍的數據。也就是前面說的，權限實際上包括菜單權限和數據權限。
系統中功能控制的粒度越細，用戶配置角色就越靈活，但對於系統設計者來說，系統的復雜度和成本自然會增加。
因此，控制水平取決於具體的業務場景。比如在某些行業，系統可能控制到壹級菜單(某些SAAS工具)，但在某些系統中，不僅要控制所有子菜單、每個按鈕操作，還要控制不同的字段(比如Salesforce的權限控制系統)。
但是我們把基礎模型抽象出來，根據實際業務進行發散並不是最困難的事情。
至此，我們可以知道，RBAC模型實際上可以解決大部分權利設計問題。
那麽，ABAC是什麽？它存在的意義是什麽？關於權限設計的未來趨勢，能給我們什麽啟示？
帶著這些問題，讓我們來看看什麽是ABAC模式。
ABAC，基於屬性的訪問控制。基於屬性的訪問控制。壹般來說，有三種類型的屬性:用戶屬性、系統或應用程序訪問的屬性(數據和操作)以及環境屬性。
換句話說，系統根據壹組或多組屬性是否滿足預設規則，動態控制誰可以訪問哪些功能數據和操作。RBAC模型實際上可以被視為具有壹組屬性的靜態ABAC模型。
用壹個例子來理解這個模型就是，只有當用戶角色是Admin，在工作時間，在C棟的B實驗室，才能訪問D文件。
事實上，ABAC是壹個能夠以最精細的粒度管理權限的模型。它允許設計者使用任何用戶屬性、環境屬性或多個屬性的交集和並集來組合動態權限判斷邏輯。
功能強大到可以有效幫助信息辨別能力差的用戶過濾垃圾信息。也可以讓商家在不知不覺中用營銷廣告充斥妳生活的每壹個角落。
但我壹直相信，科技絕對讓生活更美好。
權限管理可能是每個2B產品經理都需要面對的問題。但是，無論是C端還是B端產品，了解權限管理的設計規則，可以讓妳更好的理解產品的結構，讓產品的每壹次叠代都心中有數。
題圖來自Unspalsh，基於CC0協議。