Web服务与用户权限设计模式：管理员代操vs令牌认证选型

两种权限模式的优劣分析 #

模式1：Web服务以管理员身份代执行+外部权限表 #

这种模式下，Web服务全程用管理员账号对接平台，用户的权限范围、与对象的ACL关联都存于外部独立表中，所有操作由Web服务代用户完成。

优点

• 平台侧无需适配多用户身份，Web服务全权管控权限逻辑，对平台的侵入性极低
• 权限规则存于外部表，调整灵活，无需改动平台配置
• 无需处理大量用户令牌的传递、刷新问题，降低令牌管理复杂度

缺点

• 完全弃用平台原生ACL机制，重复开发权限逻辑，极易出现内外权限规则不一致的问题
• 管理员权限过大，一旦Web服务被攻破，攻击者可直接操作平台所有资源，安全风险极高
• 平台审计日志仅记录管理员操作，无法追溯真实操作人，合规性差
• 外部表需维护用户与所有操作对象的关联关系，用户和对象规模增长后，数据量暴增，维护成本直线上升

模式2：使用用户令牌+平台内定义安全规则 #

Web服务获取用户的合法令牌（应用用户或普通用户令牌），调用平台接口时传递该令牌，所有权限校验、ACL规则均由平台自身处理。

优点

• 直接复用平台原生的LDAP/AD集成和ACL机制，无需重复造轮子，降低权限逻辑出错概率
• 平台审计日志可直接关联真实用户，操作溯源清晰，满足合规要求
• Web服务仅负责令牌的获取、传递和有效性校验，职责单一，架构更清晰
• 遵循最小权限原则，用户仅能执行自身权限范围内的操作，从根源降低越权风险

缺点

• Web服务需适配平台的令牌认证流程，对平台依赖度较高，若平台认证机制变更，Web服务需同步调整
• 权限规则修改必须在平台内操作，若平台配置界面不够灵活，可能拖慢迭代效率
• 需处理大量用户令牌的缓存、刷新、过期等问题，增加Web服务复杂度

相关设计模式 #

• 委托授权模式：核心是Web服务将用户身份委托给平台，由平台完成权限校验，对应模式2的思路，让权限逻辑回归到擅长处理它的平台侧
• 集中式权限管理模式：对应模式1的核心逻辑，把权限规则抽离到独立的外部存储/服务中，但该模式更适合平台本身不支持原生ACL的场景，否则会造成逻辑冗余
• 最小权限原则：这是安全设计的基础准则，模式2完全贴合该原则，而模式1因使用管理员代执行，直接违背了这一点
• 审计追踪模式：模式2天然支持该模式，所有操作均可关联真实用户；模式1则需额外开发一套独立的审计逻辑，才能实现操作溯源

内容的提问来源于stack exchange，提问作者user1182625