RBAC目前使用最為廣泛的權(quán)限模型，筆者通過平常工作及工作外的積累，整理了幾種比較經(jīng)典的權(quán)限體系，希望對大家有所幫助！

一、什么是RABC

RBAC（基于角色的權(quán)限控制）模型的核心是在用戶和權(quán)限之間引入了角色的概念。取消了用戶和權(quán)限的直接關(guān)聯(lián)，改為通過用戶關(guān)聯(lián)角色、角色關(guān)聯(lián)權(quán)限的方法來間接地賦予用戶權(quán)限（如下圖），從而達到用戶和權(quán)限解耦的目的。

RABC的好處

1. 職能劃分更謹慎。對于角色的權(quán)限調(diào)整不僅僅只影響單個用戶，而是會影響關(guān)聯(lián)此角色的所有用戶，管理員下發(fā)/回收權(quán)限會更為謹慎；
2. 便于權(quán)限管理。對于批量的用戶權(quán)限調(diào)整，只需調(diào)整用戶關(guān)聯(lián)的角色權(quán)限即可，無需對每一個用戶都進行權(quán)限調(diào)整，既大幅提升權(quán)限調(diào)整的效率，又降低漏調(diào)權(quán)限的概率；

在不斷的發(fā)展過程中，RBAC也因不同的需求而演化出了不同的版本，目前主要有以下幾個版本：

1. RBAC0，這是RBAC的初始形態(tài)，也是最原始、最簡單的RBAC版本；
2. RBAC1，基于RBAC0的優(yōu)化，增加了角色的分層（即：子角色），子角色可以繼承父角色的所有權(quán)限；
3. RBAC2，基于RBAC0的另一種優(yōu)化，增加了對角色的一些限制：角色互斥、角色容量等；
4. RBAC3，最復(fù)雜也是最全面的RBAC模型，它在RBAC0的基礎(chǔ)上，將RBAC1和RBAC2中的優(yōu)化部分進行了整合；

二、基于RBAC的幾種權(quán)限體系設(shè)計

1、用戶-角色-權(quán)限

這種權(quán)限體系其實就是RBAC0的模式了。這里面又包含了2種：

1. 用戶和角色是多對一關(guān)系，即：一個用戶只充當(dāng)一種角色，一種角色可以有多個用戶擔(dān)當(dāng)；
2. 用戶和角色是多對多關(guān)系，即：一個用戶可同時充當(dāng)好幾種角色，一種角色可以有多個用戶擔(dān)當(dāng)；

如上圖：對于左邊的用戶-角色對應(yīng)，每個人只能同時擁有一種角色，但是同一個角色里邊，可能會含有多個用戶（如：李四和王麻子都是業(yè)務(wù)員）；而右邊的用戶-角色對應(yīng)，是在左邊的基礎(chǔ)上，增加了一個用戶可擁有多種角色的情況（如：小馬哥既是經(jīng)理，也要負責(zé)財務(wù)的工作）；

那么，什么時候該使用多對一的權(quán)限體系，什么時候又該使用多對多的權(quán)限體系呢？

我的建議是：盡量可能地使用多對多的權(quán)限體系。如果這個系統(tǒng)的功能比較單一、使用人員較少、崗位權(quán)限相對清晰且不會出現(xiàn)兼崗的情況，這種情況也可以考慮用多對一的權(quán)限體系。

2、用戶-組織-角色-權(quán)限

一般公司的業(yè)務(wù)管理系統(tǒng)，都有數(shù)據(jù)私密性的要求：哪些人可以看到哪些數(shù)據(jù)，哪些人不可以看到哪些數(shù)據(jù)。這個時候，我們就需要把這些東西也考慮到你的權(quán)限體系內(nèi)了。

假設(shè)上圖是一家公司業(yè)務(wù)部門的組織架構(gòu)圖，公司要求你基于這個組織架構(gòu)設(shè)計一個業(yè)務(wù)管理系統(tǒng)，并要求系統(tǒng)需要滿足不同用戶的數(shù)據(jù)私密性，比如：“張三”登錄時，只能看到“張三”負責(zé)的數(shù)據(jù)；“張三”的領(lǐng)導(dǎo)登錄時，能看到“團隊A”的所有業(yè)務(wù)員負責(zé)的數(shù)據(jù)，但看不到其他團隊業(yè)務(wù)員負責(zé)的數(shù)據(jù)等等。

在這種情況下，上一種權(quán)限體系就不適用了，但我們可以對其進行一些小改造后，即可達到數(shù)據(jù)管控的目的，如下圖：

在“用戶-角色-權(quán)限”的基礎(chǔ)上，我們增加了用戶與組織的關(guān)聯(lián)關(guān)系，組織決定了用戶的數(shù)據(jù)可視權(quán)限。但要想真正達到這個效果，我們還需要做2件事：

1. 組織層級劃分。如下圖，我們需要對組織進行梳理，并劃分層級；
2. 數(shù)據(jù)可視權(quán)限規(guī)則制定。比如：上級組織職能看到下級組織員工負責(zé)的數(shù)據(jù)，而不能看到其他平級組織及其下級組織的員工數(shù)據(jù)等。

通過以上兩點，系統(tǒng)就可以在用戶登錄時，自動判斷要給用戶展示哪些數(shù)據(jù)了！

3、用戶-組織-崗位-角色-權(quán)限

第三種權(quán)限體系又是在第二種權(quán)限體系上進行優(yōu)化的，增加了用戶與崗位的關(guān)聯(lián)關(guān)系，示意圖如下：

增加崗位有以下幾點好處：

1. 識別用戶的主要身份。一個人可能身兼多職（多個角色），但是他的主要職能是固定的，那怎么告訴系統(tǒng)用戶的主要職能是什么呢？答案就是：通過崗位！拿上面的小馬哥舉例：小馬哥雖然身兼經(jīng)理和財務(wù)兩種身份，但他的本職工作是“經(jīng)理”，因此，他的系統(tǒng)崗位應(yīng)該“經(jīng)理”。當(dāng)他登錄時，系統(tǒng)會識別他的身份為“經(jīng)理”，只不過這個“經(jīng)理”剛好兼具了其他崗位的職能而已；
2. 通過“組織-崗位”關(guān)聯(lián)，快速甄別用戶崗位。公司在不斷地發(fā)展的過程中，系統(tǒng)的用戶角色也會不斷增加，當(dāng)角色達到一定數(shù)量以后，管理員每新增一個用戶都要花相當(dāng)?shù)臅r間去尋找角色。引入崗位后，可將組織和崗位、崗位和角色提前進行關(guān)聯(lián)，配置賬號時，管理員只要選定組織，系統(tǒng)就給出與該組織關(guān)聯(lián)的崗位，而這些崗位，又是提前關(guān)聯(lián)好角色的，選擇起來，既方便又高效！

三、總結(jié)

以上是基于RBAC模型的三種權(quán)限體系，不難看出，三種權(quán)限體系的本質(zhì)都是用戶和權(quán)限進行解耦，以達到權(quán)限的靈活運用。

在最后，也給大家留下兩個小問題，大家有興趣的話可以思考下并在評論區(qū)寫出你的答案哦：

1. 在不增加“組織”的情況下（即：第一種權(quán)限體系），能否達到數(shù)據(jù)私密性的控制？如何達到？
2. 在第二種權(quán)限體系中，如何做到將“團隊A”的員工和管理者設(shè)置在同一個組織下，但又能保證員工只能看到自己的數(shù)據(jù)，而管理者可以看到該團隊所有員工的數(shù)據(jù)？

本文由 @沒有昵稱 原創(chuàng)發(fā)布于人人都是產(chǎn)品經(jīng)理。未經(jīng)許可，禁止轉(zhuǎn)載。

題圖來自unsplash，基于CC0協(xié)議