[導入]權限系統(1)--基本模式 (轉)
subject --[operation]--> resource
所謂權限管理，就是在這條信息傳遞路徑中加上一些限制性控制。
主體試圖去做的 limited by 系統允許主體去做的 = 主體實際做的。
可以看到，權限控制基本對應於filter模式。subject試圖去做的事情應該由業務邏輯決定，因而應該編碼在業務系統中。
先考慮最粗粒度的控制策略，控制點加在subject處，即無論從事何種操作，針對何種資源，我們首先需要確認subject是受控的。只有通過認證的用戶才能使用系統功能，這就是authentication。boolean isAllowed subject)
稍微複雜一些，控制可以施加在subject和operation的邊界處（此時並不知道具體進行何種操作），稱爲模塊訪問控制，即只有某些用戶才能訪問特定模塊。isAllowed(subject, operation set)
第三級控制直接施加在operation上，即操作訪問控制。operation知道resource和subject（但它尚沒有關於resource 的細節知識)，我們能夠採取的權限機制是bool isAllowed(subject, operation, resource), 返回true允許操作，返回false則不允許操作。
最簡單的情況下，subject與resource之間的訪問控制關係是靜態的，可以直接寫成一個權限控制矩陣
for operationA:
resourceA resourceB
subjectA 1 0
subjectB 0 1
isAllowed(subjectA, resourceA)恆等於true
如果多個operation的權限控制都可以通過這種方式來表示，則多個權限控制矩陣可以疊加在一起
for operationA, operationB:
resourceA resourceB
subjectA 10 01
subjectB 01 11
當subject和resource的種類很多時，權限控制矩陣急劇膨脹，它的條目數是N*M。很顯然，我們需要進行矩陣分解。這也是最基本的控制手段之一: 在系統中增加一個瓶頸，或者說尋找到隱含的結構。
subject_resource = subject_role * role_resource
這樣系統權限配置條目的數量爲 N*R + R*M, 如果R的數目遠小於subject和resource，則實現簡化。這稱爲RBAC(role based access control)，它的一個額外好處是權限系統的部分描述可以獨立於subject存在，即在系統中沒有任何用戶的時候，通過角色仍然可以表達部分權限信息。可以說角色是subject在權限系統中的代理(分解)。
有時候引入一個瓶頸還不過癮，有人引入組的概念，與role串聯，
subject_resource = subject_group_role * role_resource
或着group與role並聯,
subject_resource = subject_group * group_resource
與role稍有不同，一般情況下group的業務含義更加明顯，可能對應於組織結構等。將組織機構明確引入權限體系，有的時候比較方便，但對於權限系統自身的穩定性而言，未見得有什麼太大的好處。並聯模式有些多餘，串聯模式又過於複雜，細節調整困難，特別是多條控制路徑造成的衝突情況。一般情況下，我不提倡將group引入權限控制中。
比操作控制更加深入的控制就是數據控制了，此時需要對於resource的比較全面的知識。雖然表面上，仍然是
boolean isAllowed(subject, operation, resource)，但控制函數需要知道resource的細節。例如行級控制(row-level)或者列級控制(column-level)的實現。因爲我們一般情況下不可能將每一個條目都建模爲獨立的resource，而只能是存在一個整體描述，例如所有密級爲絕密的文檔。在witrix平臺中，數據控制主要通過數據源的filter來實現，因爲查詢條件（數據的定位條件)已經被對象化爲Query類，所以我們可以在合適的地方自由的追加權限控制條件。
以上的討論中，權限控制都是根據某些靜態描述信息來進行的，但現實世界是多變的。最簡單的，當subject從事不同業務時，對應於同一組資源，也可能對應的權限控制並不同(在witrix平臺中,對應於IDataSource的模式切換)。更復雜一些, 在不同的時刻, 我們需要根據其他附加信息來作出是否允許操作的判斷, 即此時我們權限設置的不僅僅是一些靜態的描述信息, 而是一個完整的控制函數, 這就是所謂的工作流權限控制,一種動態權限控制.