Authorization 技能评估
核心用法
Authorization 技能专注于安全访问控制领域，为开发者提供从基础到高级的权限管理解决方案。核心功能涵盖四大权限模型：ACL（简单资源所有权）、RBAC（组织层级角色）、ABAC（动态上下文规则）以及 ReBAC（社交图谱共享）。技能强调"身份验证≠授权"的根本区分，要求在登录认证完成后才执行权限判定。
技能提供了标准化的权限命名规范 resource:action:scope（如 documents:write:team），以及清晰的角色设计原则——角色应代表岗位职责而非具体权限，建议继承层级不超过三级。同时包含完整的策略评估顺序：显式拒绝优先于显式允许，默认拒绝无匹配策略，并要求记录所有拒绝事件以便审计。
显著优点
1. 模型对比清晰：通过表格形式对比四种权限模型的适用场景与复杂度，帮助团队根据实际需求选型，避免过度工程化
2. 反模式警示完善：明确列出六种常见陷阱，包括硬编码角色检查、前端-only验证、上帝角色等，降低安全漏洞风险
3. 最小权限原则落地：提供可操作的实施路径，包括默认拒绝、定期审计、临时提权等具体实践
4. 零数据风险：纯文档型技能，不访问代码库、不发起网络请求、不存储用户数据
潜在缺点与局限性
- 作为参考文档型技能，缺乏自动化检测或代码生成功能，实际落地仍需开发者手动实现
- 未提供具体框架（如Spring Security、CASL）的集成示例，需要额外的适配工作
- 复杂场景（如ABAC/ReBAC）的学习曲线较陡，小型团队可能难以有效运用
适合人群
- 后端开发工程师设计权限系统架构
- 安全工程师评审访问控制实现
- 技术负责人制定团队权限规范
常规风险
- 误读模型适用场景导致选型失误（如小型项目过度采用ABAC）
- 忽略"服务器端必须二次验证"原则造成安全漏洞
- 角色继承层级过深引发性能与维护问题
建议结合具体业务规模选择模型，并建立权限变更的自动化测试流程。