## 一、权限模型概述

权限系统是应用安全的基础：

**权限模型：**
- DAC（自主访问控制）
- MAC（强制访问控制）
- RBAC（基于角色的访问控制）
- ABAC（基于属性的访问控制）

## 二、RBAC模型

### 1. RBAC核心概念

```
用户 → 角色 → 权限
   │        │
   │        └── 权限（功能操作）
   │
   └── 角色（职责集合）
```

### 2. RBAC数据库设计

```sql
-- 用户表
CREATE TABLE sys_user (
    id BIGINT PRIMARY KEY AUTO_INCREMENT,
    username VARCHAR(50) NOT NULL UNIQUE,
    password VARCHAR(100) NOT NULL,
    nickname VARCHAR(50),
    status TINYINT DEFAULT 1,
    create_time TIMESTAMP DEFAULT CURRENT_TIMESTAMP
);

-- 角色表
CREATE TABLE sys_role (
    id BIGINT PRIMARY KEY AUTO_INCREMENT,
    role_code VARCHAR(50) NOT NULL UNIQUE,
    role_name VARCHAR(50) NOT NULL,
    description VARCHAR(200),
    status TINYINT DEFAULT 1
);

-- 权限表
CREATE TABLE sys_permission (
    id BIGINT PRIMARY KEY AUTO_INCREMENT,
    perm_code VARCHAR(100) NOT NULL UNIQUE,
    perm_name VARCHAR(50) NOT NULL,
    resource_type VARCHAR(20),  -- menu, button, api
    resource_path VARCHAR(200),
    description VARCHAR(200)
);

-- 用户角色关联
CREATE TABLE sys_user_role (
    user_id BIGINT,
    role_id BIGINT,
    PRIMARY KEY (user_id, role_id)
);

-- 角色权限关联
CREATE TABLE sys_role_permission (
    role_id BIGINT,
    permission_id BIGINT,
    PRIMARY KEY (role_id, permission_id)
);
```

### 3. RBAC实现

```java
@Service
public class RbacService {
    
    // 获取用户权限
    public Set<String> getUserPermissions(Long userId) {
        List<Permission> permissions = permissionMapper
            .selectByUserId(userId);
        
        return permissions.stream()
            .map(Permission::getPermCode)
            .collect(Collectors.toSet());
    }
    
    // 检查权限
    public boolean hasPermission(Long userId, String permission) {
        Set<String> permissions = getUserPermissions(userId);
        return permissions.contains(permission);
    }
    
    // 权限注解
    @PreAuthorize("@rbacService.hasPermission(#userId, 'order:create')")
    public Order createOrder(Long userId, OrderRequest request) {
        // 创建订单
        return order;
    }
}
```

## 三、ABAC模型

### 1. ABAC核心概念

```
访问决策 = f(用户属性, 资源属性, 环境属性, 操作属性)
```

**属性类型：**
- 用户属性：部门、职位、资历
- 资源属性：敏感等级、所有者
- 环境属性：时间、IP、地点
- 操作属性：读取、修改、删除

### 2. ABAC策略配置

```json
{
  "policyId": "order-access-policy",
  "description": "订单访问控制策略",
  "subject": {
    "attributes": {
      "department": "string",
      "position": "string"
    }
  },
  "resource": {
    "attributes": {
      "owner": "string",
      "sensitivity": "string"
    }
  },
  "action": {
    "attributes": {
      "operation": ["read", "write", "delete"]
    }
  },
  "rules": [
    {
      "effect": "permit",
      "condition": {
        "and": [
          {"==": [{"var": "resource.owner"}, {"var": "subject.userId"}]},
          {"==": [{"var": "action.operation"}, "read"]}
        ]
      }
    },
    {
      "effect": "permit",
      "condition": {
        "and": [
          {"==": [{"var": "subject.position"}, "manager"]},
          {"==": [{"var": "resource.sensitivity"}, "normal"]}
        ]
      }
    }
  ]
}
```

### 3. ABAC实现

```java
@Service
public class AbacService {
    
    @Autowired
    private PolicyRepository policyRepository;
    
    public boolean evaluate(Subject subject, Resource resource, Action action) {
        // 加载匹配的策略
        List<Policy> policies = policyRepository.findMatchingPolicies(
            subject, resource, action);
        
        for (Policy policy : policies) {
            if (evaluatePolicy(policy, subject, resource, action)) {
                return policy.getEffect() == PolicyEffect.PERMIT;
            }
        }
        
        // 默认拒绝
        return false;
    }
    
    private boolean evaluatePolicy(Policy policy, Subject subject, 
                                    Resource resource, Action action) {
        for (Rule rule : policy.getRules()) {
            if (!evaluateRule(rule, subject, resource, action)) {
                return false;
            }
        }
        return true;
    }
    
    private boolean evaluateRule(Rule rule, Subject subject, 
                                 Resource resource, Action action) {
        Condition condition = rule.getCondition();
        
        return evaluateCondition(condition, subject, resource, action);
    }
}
```

## 四、RBAC vs ABAC对比

| 维度 | RBAC | ABAC |
|------|------|------|
| 复杂度 | 低 | 高 |
| 灵活性 | 低 | 高 |
| 维护成本 | 低 | 高 |
| 粒度 | 角色级 | 属性级 |
| 适用场景 | 固定角色 | 复杂权限 |

## 五、权限系统设计

### 1. 菜单权限

```java
@Service
public class MenuPermissionService {
    
    public List<MenuVO> getUserMenus(Long userId) {
        // 获取用户角色
        List<Role> roles = roleMapper.selectByUserId(userId);
        
        // 获取角色对应的菜单
        Set<Long> menuIds = new HashSet<>();
        for (Role role : roles) {
            List<Menu> menus = menuMapper.selectByRoleId(role.getId());
            menus.stream().map(Menu::getId).forEach(menuIds::add);
        }
        
        // 构建菜单树
        return buildMenuTree(menuIds);
    }
}
```

### 2. 数据权限

```java
@Component
public class DataPermissionInterceptor {
    
    @Autowired
    private DataScopeService dataScopeService;
    
    @Around("@annotation(dataPermission)")
    public Object around(ProceedingJoinPoint point, DataPermission dataPermission) 
            throws Throwable {
        
        // 获取用户数据权限范围
        DataScope scope = dataScopeService.getUserDataScope(getCurrentUserId());
        
        // 根据权限范围修改查询
        if (scope.getType() == DataScopeType.DEPT) {
            // 只看本部门数据
            addDeptCondition(point, scope.getDeptIds());
        } else if (scope.getType() == DataScopeType.SELF) {
            // 只看自己创建的数据
            addSelfCondition(point, getCurrentUserId());
        }
        
        return point.proceed();
    }
}
```

## 六、总结

权限系统设计要点：

- **RBAC**：简单易用，适合固定角色
- **ABAC**：灵活复杂，适合精细控制
- **菜单权限**：控制可见性
- **数据权限**：控制数据范围

---

*个人观点，仅供参考*

【架构实战】权限系统设计：RBAC vs ABAC

权限系统设计要点：

- **RBAC**：简单易用，适合固定角色
- **ABAC**：灵活复杂，适合精细控制
- **菜单权限**：控制可见性
- **数据权限**：控制数据范围

研发部经理

后端

安全

架构设计

本文详细解析RBAC和ABAC两种主流权限模型，包含核心概念、数据库设计及Java实现代码。RBAC基于角色控制，适合固定权限场景；ABAC基于属性控制，支持更细粒度的权限管理。文章还对比了两种模型的优缺点，并提供了菜单权限和数据权限的具体实现方案，为开发者构建安全权限系统提供实用参考。

数据库

2026采购季 | AI焕新·智启新局

tencentdb-catalog

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云AI代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

功能1上新10个字符

功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符功能2描述100个字符。

功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符功能2上新100个字符。

功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符功能5描述100个字符

功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符功能5上新100个字符

功能4上新

文章&问答评论现已支持表情

全新交互，全新视觉，新增快捷键、悬浮工具栏、高亮块等功能并同时优化现有功能，全面提升创作效率和体验

社区富文本编辑器全新改版！诚邀体验～ 

精选全网热门MCP server，让你的AI更好用 🚀

💥开发者 MCP广场重磅上线！

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

【架构实战】权限系统设计：RBAC vs ABAC-腾讯云开发者社区-腾讯云

【架构实战】权限系统设计：RBAC vs ABAC

【架构实战】权限系统设计：RBAC vs ABAC

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐