RBAC：权限模型的初步理解

近来部门接到一个外包项目，是基于现有的系统做一个知识文档库，类似于百度网盘一样的功能，只是在角色和权限上与网盘不同，这个项目我们部门称为KM，Knowledge Manager ，难点就在于文件的权限管理。

以下是与权限相关的一些功能点：

KM 有五类角色：KM 企业管理员， KM 部门管理员，KM团队管理员，KM团队成员， KM成员，权限依次递减
KM 有三个实体：网盘、文件夹、文件
KM 网盘的类型有：部门网盘，团队网盘，个人网盘
KM 文件夹的操作：创建、修改、删除、移动、分享、授权
KM 文件的操作：创建、修改、删除、移动、分享、授权

归根到底有两点：

不同角色对不同实体的操作有不一样的权限
高级别的角色可以改变低级别的角色对指定实体的操作权限

我自己出来工作已经两年，计划五年内成为一名架构师，虽然这次不需要我对系统进行设计，但是我肯定不会放弃这次机会，在上级出方案之前，我足足把需求文档看了四遍，去想如何才能设计一个好的架构进行开发，不过，最后的结果还是打击到我了，实在没想到还有如此简单的方法。全文分解为两部分：

我自己的设计：策略模式
上级的设计：RBAC权限模型

策略模式

开始的想法是，架构必然和设计模式有关，考虑到实体执行的操作类型如上文所说基本有六种操作，结合五类角色，正好可以采用策略模式，基本的思路如下：

获取用户信息，基于不同网盘、文件夹、文件，实现对应的角色
根据角色，判断对应的操作是否具相应的权限
若不满足权限，则查询权限表，判断高级角色是否授权
最终返回是否具备权限的数据，以供前端进行响应式回显

这就是我最开始的思路，其实想到这套方案，心里还是挺开心的，原因在于：

用到了策略模式，刚学就能用上
解耦，以后不同角色对不同实体的操作的维护难度大大降低
不需要频繁的查询数据库，毕竟有一部分业务逻辑是不需要通过查询数据库的，类似于KM 企业管理员，权限最大，对任何实体都具备操作权限

然而当我把想法在早会上提出来时，上级告诉我说，现行有一种很成熟的权限模型：RBAC权限模型，他的设计能够解决这个项目大部分的需求。方案不被采纳固然有一点小失落，但是，我却看到了一个很厉害的模型，足以让我涨见识，以后遇到权限管理的时候，首先应该想到RBAC模型，结合项目的需求，对模型进行扩展。