授权模型设计：RBAC模型详解与权限粒度控制
聊到MES系统的权限设计，RBAC（基于角色的访问控制）是我最常用的模型。说实话，没有哪个模型能包打天下，但RBAC在工业场景下确实最实用。我见过不少团队一上来就搞复杂的ABAC（基于属性的访问控制），结果项目延期、运维崩溃。嗯，咱们还是从最经典的RBAC说起。
一、RBAC模型的核心思想
RBAC说白了就是一句话：用户不直接拥有权限，而是通过角色来获得权限。你想想看，一个MES系统里可能有几百个用户，如果每个用户单独配权限，那简直是灾难。我早期做过一个项目，客户要求每个操作工只能看自己工位的生产数据，结果权限表膨胀到几万条记录——后来全改成RBAC，清爽多了。
核心三要素：
- 用户（User）：系统的操作者，比如操作工、班组长、质检员
- 角色（Role）：职责的集合，比如"生产操作员"、"质量审核员"
- 权限（Permission）：对资源的操作许可，比如"查看工单"、"修改工艺参数"
它们的关系是这样的：用户→角色→权限。用户和角色是多对多，角色和权限也是多对多。我习惯在数据库里用三张关联表来实现：用户表、角色表、权限表，再加上用户-角色关联表和角色-权限关联表。
二、RBAC的三种变体
实际项目中，纯RBAC往往不够用。我总结下来，常见的有三种变体：
1. 扁平RBAC（最基础）
用户直接关联角色，角色关联权限。适合小团队、功能简单的场景。比如一个只有20个用户的MES看板系统，用这个就够了。
2. 层级RBAC（带角色继承）
角色可以继承其他角色的权限。举个例子，"高级操作员"角色可以继承"普通操作员"的所有权限，再额外加上"修改工艺参数"的权限。我在一个半导体工厂的项目里用过这个，省了不少配置工作。
我的经验：层级RBAC虽然方便，但别超过三层。我曾经见过一个客户搞了五层继承，结果一个权限改了，下面所有角色都受影响，排查问题花了整整两天。
3. 受限RBAC（带职责分离）
这是我最推荐在MES中使用的变体。它引入了"互斥角色"的概念——一个人不能同时拥有两个互斥的角色。比如，质检员和操作工不能是同一个人，否则自己生产自己检验，质量就失控了。
注意：职责分离在MES中特别重要。我遇到过一家药企，因为没做互斥检查，一个操作工同时拥有"生产"和"放行"权限，结果一批不合格产品直接流到了客户手里。教训深刻啊。
三、权限粒度控制
光有RBAC还不够，你还要考虑权限的粒度。说白了，就是控制到多细。我一般分两个维度：功能级和数据级。
1. 功能级权限
控制用户能不能做某个操作。比如：
- 能不能查看工单列表
- 能不能创建新的生产批次
- 能不能修改设备参数
- 能不能导出质量报告
实现上，我习惯用"权限点"的概念。每个功能对应一个权限点，比如 order:view、order:create、param:modify。角色关联这些权限点，用户通过角色获得。
// 权限点定义示例
const permissions = {
'order:view': '查看工单',
'order:create': '创建工单',
'order:modify': '修改工单',
'order:delete': '删除工单',
'quality:report:view': '查看质量报告',
'quality:report:export': '导出质量报告',
'param:view': '查看工艺参数',
'param:modify': '修改工艺参数'
};
// 角色-权限关联
const rolePermissions = {
'生产操作员': ['order:view', 'order:create', 'param:view'],
'生产班组长': ['order:view', 'order:create', 'order:modify', 'param:view', 'param:modify'],
'质量审核员': ['order:view', 'quality:report:view', 'quality:report:export']
};2. 数据级权限
这个就复杂了。数据级权限控制的是用户能看到哪些数据。比如：
- 操作工只能看自己工位的生产数据
- 班组长能看整个班组的
- 厂长能看全厂的
我常用的实现方式有两种：
| 实现方式 | 说明 | 适用场景 |
|---|---|---|
| 数据过滤 | 在SQL查询中动态拼接条件，比如 WHERE workshop_id = 当前用户所属车间 |
数据量大、查询频繁的场景 |
| 数据标签 | 给每条数据打上标签（如部门、车间、产线），用户只能访问标签匹配的数据 | 数据来源复杂、需要灵活控制的场景 |
避坑指南：我曾经在一个项目中用了纯前端的数据过滤，结果用户通过浏览器开发者工具直接修改了过滤条件，看到了不该看的数据。记住：数据级权限必须在后端实现，前端只是展示。
四、实际项目中的组合策略
说了这么多，到底怎么用？我一般这样组合：
- 基础层：用扁平RBAC做功能级权限控制，简单直接
- 扩展层：对敏感操作（如修改工艺参数、放行产品）加上受限RBAC的互斥检查
- 数据层：用数据过滤实现数据级权限，所有查询都经过统一的权限拦截器
举个例子，一个典型的MES权限配置可能是这样的：
// 用户：张三
// 角色：生产操作员（互斥：不能同时为质检员）
// 功能权限：查看工单、报工、查看工艺参数
// 数据权限：只能看A车间的数据
// 用户：李四
// 角色：生产班组长
// 功能权限：查看工单、创建工单、修改工单、查看工艺参数、修改工艺参数
// 数据权限：能看A车间和B车间的数据我的习惯：权限配置一定要做成可配置的，不要硬编码。我一般会在MES系统里做一个权限管理页面，让管理员可以动态调整角色和权限。这样系统上线后，业务部门自己就能维护，不用每次都找开发改代码。
嗯，RBAC模型和权限粒度控制就聊到这儿。记住一个原则：权限设计要够用，但别过度设计。我见过太多团队一开始就搞得很复杂，结果运维成本比开发成本还高。从简单的RBAC开始，随着业务发展逐步完善，这才是正道。