基于属性的访问控制（Attribute-Based Access Control，简称 ABAC）是一种非常灵活的授权模型，不同于 RBAC，ABAC 则是通过各种属性来动态判断一个操作是否可以被允许。
1 ABAC 的主要组成部分 #
在 ABAC 中，一个操作是否被允许是基于对象、资源、操作和环境信息共同动态计算决定的。
- 对象：对象是当前请求访问资源的用户。用户的属性包括ID，个人资源，角色，部门和组织成员身份等；
- 资源：资源是当前访问用户要访问的资产或对象（例如文件，数据，服务器，甚至API）。资源属性包含文件的创建日期，文件所有者，文件名和类型以及数据敏感性等等；
- 操作：操作是用户试图对资源进行的操作。常见的操作包括“读取”，“写入”，“编辑”，“复制”和“删除”；
- 环境：环境是每个访问请求的上下文。环境属性包含访问尝试的时间和位置，对象的设备，通信协议和加密强度等。
2 ABAC 如何使用属性动态计算出决策结果 #
在 ABAC 的决策语句的执行过程中，决策引擎会根据定义好的决策语句，结合对象、资源、操作、环境等因素动态计算出决策结果。、
每当发生访问请求时，ABAC 决策系统都会分析属性值是否与已建立的策略匹配。如果有匹配的策略，访问请求就会被通过。
例如，策略「当一个文档的所属部门跟用户的部门相同时，用户可以访问这个文档」会被以下属性匹配：
- 对象（用户）的部门 = 资源的所属部门；
- 资源 = “文档”；
- 操作 = “访问”；
策略「早上九点前禁止 A 部门的人访问B系统；」会被以下属性匹配：
- 对象的部门 = A 部门；
- 资源 = “B 系统”；
- 操作 = “访问”；
- 环境 = “时间是早上 9 点”。
3 ABAC 应用场景 #
在 ABAC 权限模型下，你可以轻松地实现以下权限控制逻辑：
- 授权 A 具体某部门的编辑权限；
- 当一个文档的所属部门跟用户的部门相同时，用户可以访问这个文档；
- 当用户是一个文档的拥有者并且文档的状态是草稿，用户可以编辑这个文档；
- 早上九点前禁止 A 部门的人访问 B 系统；
- 在除了上海以外的地方禁止以管理员身份访问 A 系统；
上述的逻辑中有几个共同点：
- 具体到某一个而不是某一类资源；
- 具体到某一个操作；
- 能通过请求的上下文（如时间、地理位置、资源 Tag）动态执行策略；
如果浓缩到一句话，你可以 细粒度地授权在何种情况下对某个资源具备某个特定的权限。