WEB安全（二）RBAC-基于角色的权限控制模型

  RBAC（Role-Based AccessControl，基于角色的访问控制），就是用户通过角色与权限进行关联。简单地说，一个用户拥有若干角色，每一个角色拥有若干权限。

  RBAC认为权限授权实际上是Who、What、How的问题。在RBAC模型中，who、what、how构成了访问权限三元组,也就是“Who对What(Which)进行How的操作”。

• Who：权限的拥用者或主体（如Principal、User、Group、Role、Actor等等）

• What：权限针对的对象或资源（Resource、Class）。

• How：具体的权限（Privilege,正向授权与负向授权）。

一、RBAC基础模型

  在RBAC基础模型中，用户与角色之间，角色与权限之间，一般者是多对多的关系。

  角色是什么？可以理解为一定数量的权限的集合，权限的载体。可对应于平时我们说的职位。

二、引入用户组

  当用户的数量非常大时，要给系统每个用户逐一授权（授角色），是件非常烦琐的事情。这时，就需要给用户分组，每个用户组内有多个用户。除了可给用户授权外，还可以给用户组授权。这样一来，用户拥有的所有权限，就是用户个人拥有的权限与该用户所在用户组拥有的权限之和。

三、引入资源模型

  在应用系统中，资源分为三种

  1、对功能模块的操作，如对请假单的增删改查。

  2、菜单的访问权限，对用户可见及可访问的菜单进行控制。

  3、可访问的数据，如部门经理能看到全部数据，而项目经理只能看到自己项目的数据。

  通常，会把功能操作和菜单整合成一类，构成“用户-角色-权限-”的授权模型。剩下的可访问数据，可形成另一类单独控制。