rbac - RBAC 上的操作和权限的区别

Question

我正在使用基于角色的访问控制(RBAC)开发通用用户管理系统，因为我无法区分操作表和权限表(这是在阅读了这么多文章之后)。

"一个主体可以有多个角色。一个角色可以有多个主体。一个角色可以有多个权限。一个权限可以分配给多个角色。一个操作可以分配多个权限。一个权限可以分配给多个操作."

en.wikipedia.org/wiki/Role-based_access_control

任何人都可以举一个简单的例子来区分它们吗？

Answer 1

RBAC standard不涉及操作，只涉及用户、角色和权限。我想您所指的操作是您正在使用的特定实现的一部分。它们可能是您的解决方案中实现资源的方式。

权限是执行/访问资源所需要的。权限分配给角色，资源需要一组权限。

让我们以一个简单的收银机管理系统为例。有很多用户(商店的员工)，很多角色，包括cashier operator .该角色授予用户一项权限，scan items .操作 item.scan() 需要此类权限，也可以通过操作 item.cancel() .