Authorization 授权

授权解决的是“你能做什么”。

它通常发生在认证之后：先确认身份，再判断是否有权限执行某个操作。

常见模型

• RBAC：基于角色的访问控制
• ABAC：基于属性的访问控制
• ACL：基于资源的访问控制列表

系统设计里常见的授权点

• 是否允许访问某个接口
• 是否允许操作某条资源
• 是否允许跨租户查看数据
• 是否允许执行高风险动作

设计时要考虑什么

• 权限粒度做到多细
• 权限变更如何实时生效
• 缓存权限后如何失效
• 审计日志是否需要记录

相关主题

• ./authentication.md
• ./encryption.md