技术问询：访问控制机制（RBAC、ABAC）如何实现资源保护？

我明白你已经搞懂了RBAC、ABAC这些访问控制引擎怎么评估请求、输出允许/拒绝的决策，但困惑的是这些决策到底怎么落地去保护资源——比如ABAC说“拒绝”的时候，到底是怎么阻止用户接触到资源的，对吧？

先理清楚一个核心逻辑：RBAC、ABAC这类机制本质是决策引擎，它们的作用是判断“某个主体能不能访问某个资源”，但直接保护资源的是执行这些决策的下游组件，而不是访问控制机制本身。

具体怎么执行决策？ #

不管是RBAC还是ABAC，决策出来后，都是通过以下几种常见方式落地：

• 拦截请求入口：比如API网关、Web服务器会集成访问控制引擎的决策结果——如果引擎返回「拒绝」，网关直接返回403错误，根本不把请求转发到资源所在的服务/数据库。举个例子，ABAC判断用户所在部门不是财务，且没有临时审批权限，就返回拒绝，网关直接拦掉这个查看财务报表的请求，用户连资源的影子都碰不到。
• 应用层前置校验：如果是应用内部的资源（比如数据库里的某条数据），应用代码会在查询/读取资源前调用访问控制引擎，拿到拒绝结果后，就不执行查询操作，或者返回空数据/无权限提示。比如ABAC判断用户的职位级别不够查看高管薪资，应用就不会执行SELECT salary FROM employees WHERE level='exec'这条SQL。
• 资源分区隔离：有些场景下，资源本身会被按权限分组存储（比如不同部门的文件存在不同的目录），访问控制引擎的决策会映射到对应的分区权限——拒绝访问的话，用户根本看不到那个分区的入口，自然无法访问里面的资源。

ABAC拒绝决策的实际执行例子 #

举个具体场景：公司用ABAC控制云存储桶的访问，规则是「只有当用户的项目ID和存储桶的项目ID匹配，且当前时间在项目有效期内，才允许访问」。当一个用户请求访问不属于他项目的存储桶时：

1. ABAC引擎评估请求的主体（用户）、资源（存储桶）、环境（当前时间）属性，返回「拒绝」决策。
2. 云存储的访问控制层拿到这个决策后，直接拒绝用户的读写请求，不会让用户的请求触及到存储桶里的任何文件——既不需要加密这个用户的请求（加密是传输/存储环节的安全措施），也不是把资源藏到特殊数据库，而是直接切断了用户到资源的通路。

加密、安全存储和访问控制的区别 #

你提到的「对资源加密」「存储在安全数据库」属于数据安全的其他维度，和访问控制是互补的关系：

• 加密是防止资源被非法窃取后泄露（比如即使有人绕过了访问控制拿到了资源，加密后他也读不懂）；
• 安全数据库是保障资源存储本身的安全性（比如防止数据库被黑客直接入侵）；
• 而访问控制是在访问入口就拦住不符合条件的请求，从根源上阻止非法访问尝试。

内容的提问来源于stack exchange，提问作者star