如何实现细粒度访问控制

细粒度访问控制（Fine-Grained Access Control, FGAC）是指在比“角色/用户”更细的层级上控制“谁能对什么数据、在什么条件下、做什么操作”。下面从设计思路 → 常见模型 → 技术实现 → 实战示例四个层面系统说明。

一、核心设计思路

实现细粒度访问控制，通常要回答四个问题（ABAC 经典模型）：

1. Subject（主体）：谁？用户 / 服务 / 设备
2. Resource（资源）：什么？表 / 行 / 字段 / API
3. Action（操作）：做什么？读 / 写 / 删除
4. Condition（条件）：在什么环境下？时间 / 部门 / 数据归属

越能动态组合这 4 个维度，控制越“细”。

二、常见访问控制模型对比

✅ 细粒度首选：ABAC / PBAC

三、技术实现方式（按层级）

1️⃣ 应用层（最常用）

在代码/网关中做判断：

if (user.deptId != doc.ownerDeptId) {
    throw new AccessDeniedException();
}

✅ 灵活
❌ 易散落、难维护

2️⃣ 接口层（API Gateway）

通过策略引擎统一拦截：

- path: /order/*
  method: GET
  condition:
    user.role: sales
    user.region: == resource.region

✅ 集中管控
❌ 只到 API 级

3️⃣ 数据层（行/列级）

数据库原生支持：

• PostgreSQL：Row Level Security (RLS)
• MySQL：VIEW + 权限
• Oracle：VPD

CREATE POLICY user_policy
ON orders
FOR SELECT
USING (owner_id = current_user_id());

✅ 真正“数据级细粒度”
✅ 绕过应用也生效

4️⃣ 字段级（最细）

• 动态脱敏
• 字段权限表

{
  "fields": {
    "salary": "deny",
    "email": "mask"
  }
}

四、推荐实现架构（企业级）

用户请求
  ↓
API Gateway（认证 + 粗粒度）
  ↓
Policy Engine（OPA / Casbin）
  ↓
业务服务（逻辑判断）
  ↓
数据库（RLS / VPD）

常用策略引擎

• OPA（Open Policy Agent） ✅ 云原生
• Casbin ✅ 轻量、语言多
• Keycloak ✅ 身份 + 策略

五、实战示例（ABAC）

场景

销售只能看自己区域内的订单

策略（Rego / OPA）

allow {
  input.user.role == "sales"
  input.user.region == input.resource.region
}

数据

{
  "user": {"role": "sales", "region": "East"},
  "resource": {"region": "East"}
}

✅ 允许访问

六、落地建议（非常重要）

1. 先粗后细：RBAC 打底，ABAC 补漏洞
2. 策略集中化：别写死在业务代码
3. 性能优先：缓存策略结果
4. 审计必做：谁在什么时间访问了什么

如果你愿意，可以告诉我：

• 使用的技术栈（Java / Go / 前端 / DB）
• 是系统权限还是数据权限
• 是否多租户

我可以直接给你可落地的代码方案。