RBAC--基于角色权限的模型

RBAC–基于角色权限的模型

RBAC模型是什么

​ ⭐ RBAC（Role-Based Access Control，基于角色的访问控制）是一种高效的权限管理模型，用户通过角色和权限进行了关联。它的核心思想是将用户、角色和权限之间建立紧密的关联，形成了一个灵活而强大的授权体系。在这种模型中，用户与角色之间，角色与权限之间，一般都存在多对多的关系。

​

为什么要构建RBAC模型

​ 前面我们已经对RBAC有了个简单的了解，但是可能会有很多小伙伴有疑问了，为什么不把权限直接跟用户关联起来，还要增加一层角色关系呢？

​ 其实，这个问题很好解释，让我来举个例子。假设你是一个销售公司的管理员，公司有几百号员工，其中有普通员工，有部门经理，有区域负责人，这些员工负责的事情和权限是不一样的。将权限直接关联员工的话，我们就需要针对每一个员工，每一个部门经理给他们关联上不同的权限，这其中会有大量重复的操作，还存在一不留神把权限关联错了的风险。假设员工A因业绩好升级成了部门经理，部门经理相比普通员工多了很多权限，这时候你就需要手动的把这些权限给这位员工一一加上，过两天，员工B调岗了,权限和之前的岗位又大相径庭，这时候你又得默默地给这位员工进行一个个权限的修改…如此种种，显然不符合我们的需求。

​ 于是，我们就会想，能不能把这些用户区分成不同的角色，每个角色都拥有一组权限，这组权限由管理员根据不同角色的实际需要进行分配。让一个用户需要访问某个资源的时，根据该用户所属的角色的权限去判断是否允许访问。这样使得管理员只需要为用户分配角色，而不必为每一个用户单独设置权限，不仅节省了时间精力，还降低出错的可能性，当某一角色的职能发生变化时，管理员也仅需调成该角色所对应的权限就行，大大增强了系统的灵活性和可扩展性。

​ 以下是一个标准的RBAC模型表结构图：（用户和角色之间可以是多对多关系，故可以再增加张用户角色中间表，这里省略）

​ 用户表里面关联角色Id，角色和权限之间通过角色权限关系表关联（多对多）。我们通过用户信息（如用户名密码等）客户查到对应用户的角色信息，就能查询到角色信息的相关内容，再通过角色权限中间表，就能找到该角色Id对应的一个或多个权限，进而实现不同角色的用户能够访问到不同的权限。

RBAC模型分类

基本模型RBAC0(最常用)

​ RBAC0是基础，很多产品只需基于RBAC0就可以搭建权限模型了。在这个模型中，我们把权限赋予角色，再把角色赋予用户。用户和角色，角色和权限都是多对多的关系。用户拥有的权限等于他所有的角色持有权限之和。

​ ⭐例子：

如一个博客平台：

• 角色：管理员、编辑、读者
• 权限：创建和编辑文章、删除评论、管理用户帐户
• 用户：管理员用户A、编辑用户B、普通读者用户C

在这个例子中，管理员角色可能具有创建、编辑文章、删除评论和管理用户帐户的所有权限。编辑角色可能只有创建和编辑文章的权限，而普通读者角色可能只有阅读文章的权限。

用户A可能分配了管理员角色，因此拥有所有的权限。用户B可能分配了编辑角色，因此只有创建和编辑文章的权限。用户C可能只是普通读者，因此只能阅读文章，没有其他操作的权限。

RBAC0提供了一种基本的权限管理模型，它可以在许多应用程序中使用，但对于更复杂的场景，可能需要引入更高级的RBAC模型或其他访问控制方法来满足安全需求。

角色分层模型RBAC1

​ RBAC1建立在RBAC0基础之上，在角色中引入了继承的概念。简单理解就是，给角色可以分成几个等级，每个等级权限不同，从而实现更细粒度的权限管理。

角色限制模型RBAC2

​ RBAC2 是基于 RBAC0 的扩展，通过引入一些限制来增强对用户、角色和权限之间的控制。这些限制主要分为两类：静态职责分离（SSD）和动态职责分离（DSD）

1. 静态职责分离 (SSD)：确保用户不会同时被分配到具有冲突权限的角色。相互排斥角色确保用户不能同时拥有相互冲突的权限，而强制性角色分配要求用户在分配某个角色时必须同时分配另一个角色，以防止滥用权限。
2. 动态职责分离 (DSD)：限制用户在执行敏感操作时，需要多个用户或角色的参与，以确保关键任务不会被单一用户滥用。强制性权限分离要求多方批准执行某些操作，而序列操作限制确保操作按特定顺序执行，避免滥用。

统一模型RBAC3

​ RBAC3是RBAC1和RBAC2的合集，所以RBAC3既有角色分层，也包括可以增加各种限制。

总结（RBAC模型优缺点）

优点：

1. 简化权限管理：RBAC简化了权限管理，通过将权限分配给角色，然后将角色分配给用户，使权限管理更加可维护和清晰。
2. 降低错误风险：RBAC减少了出错的机会，因为权限分配是基于角色的，而不是直接与用户相关。这有助于减少意外的权限泄漏或滥用。
3. 提高安全性：RBAC可以增加系统的安全性，因为它限制了用户对资源的访问，确保用户只能执行其职责范围内的操作。
4. 合规性和审计：RBAC有助于满足合规性要求，因为权限分配和使用是可追踪和审计的。这有助于监督和验证系统的合规性。
5. 适用于大型组织：RBAC特别适用于大型组织，因为它可以有效地管理大量用户和权限。

缺点：

1. 初始设置复杂：RBAC的初始设置可能会复杂，特别是在大型系统中，需要仔细规划角色和权限的层次结构。
2. 刚性：RBAC模型可能过于刚性，难以适应某些情况下的灵活性需求，例如紧急情况下的权限调整。
3. 角色爆炸问题：在复杂系统中，可能会出现“角色爆炸”问题，导致大量的角色和权限管理困难。
4. 不适用于所有情况：RBAC不一定适用于所有情况，特别是在需要更复杂的权限控制策略时，可能需要其他模型的结合或扩展。

​ 任何模型都会有其优点和不足，因此还需要根据项目实际需求进行灵活选择。