访问控制如何工作（RBAC、最小权限原则）？

Question

Accepted Answer

**访问控制**管理已认证用户可以执行的操作——通过**RBAC**（基于角色的访问控制）等模型和**最小权限**等原则。适当的访问控制至关重要，因为不当的访问控制是OWASP的#1漏洞。

## 访问控制模型

```text
RBAC (Role-Based Access Control) → assign users to ROLES; roles have PERMISSIONS:
  → user → role(s) (admin, editor, viewer) → permissions → access decisions
  → manageable, common; change a role's permissions, all its users update
ABAC (Attribute-Based) → decisions based on ATTRIBUTES (user, resource, context) → flexible,
  fine-grained (e.g. "editors can edit docs in their department during business hours")
ACLs → per-resource lists of who can do what
```

## 最小权限原则

```text
LEAST PRIVILEGE → grant the MINIMUM access needed to do the job, nothing more:
  → limits the BLAST RADIUS if an account/component is compromised
  → applies to users, services, processes, database accounts, API keys, etc.
→ a foundational security principle (default to LESS access; grant more only as needed)
```

## 安全地实现访问控制

```text
⚠️ BROKEN ACCESS CONTROL is OWASP #1 — common and serious:
✓ ENFORCE authorization on the SERVER for EVERY protected action/resource (never trust
  the client; don't rely on hiding UI elements)
✓ Check the user is authorized for the SPECIFIC resource (prevent IDOR — accessing
  others' data by changing an ID)
✓ DENY by default; verify on each request; centralize authorization logic
✓ Test access control (a common gap — easy to miss authorization checks)
```

## 为什么这很重要

理解访问控制很重要，因为它**管理用户可以执行的操作，对安全至关重要**——不当的访问控制是OWASP的#1漏洞——因此这是宝贵的、实际关键的安全知识。

访问控制确定已认证用户可以执行的操作，正确实现至关重要。

理解**模型**——**RBAC**（将用户分配给拥有权限的角色——可管理且常见）、**ABAC**（基于属性的决策，用于灵活、细粒度的控制）和ACLs（按资源权限列表）——为权限结构提供框架，其中RBAC最常见。

理解**最小权限原则**——授予**最低必需访问权限**，这**限制了账户或组件被攻击时的影响范围**——是一个基础性的安全原则，广泛适用（用户、服务、数据库账户、API密钥），也是最重要的安全概念之一。

关键是，理解如何**安全地实现访问控制**解决了#1漏洞：**为每个受保护的操作在服务器上强制授权**（永远不要信任客户端或依赖隐藏UI——常见的错误）、**检查特定资源的授权**（防止IDOR，用户通过改变ID访问他人数据——常见的访问控制不当漏洞）、**默认拒绝**、在每次请求时验证，以及**测试访问控制**（常见的遗漏，因为缺失的授权检查容易被忽视）。

由于访问控制管理用户可以执行的操作，而不当的访问控制是顶级漏洞（常见且严重），且由于理解模型（RBAC）、最小权限原则和安全实现（服务器端强制、资源特定检查、默认拒绝）对安全至关重要，理解访问控制是宝贵的、实际关键的安全知识——应对#1安全风险，控制用户可以执行的操作的基础，以及避免访问控制不当漏洞（如IDOR和缺失授权检查）的关键，这些是最常见和最严重的漏洞之一。