在系統(tǒng)中發(fā)生的事情，抽象的說都是某個主體(subject)在某個資源(resource)上執(zhí)行了某個操作(operation)。
subject --[operation]--> resource
所謂權(quán)限管理，就是在這條信息傳遞路徑中加上一些限制性控制。
主體試圖去做的 limited by 系統(tǒng)允許主體去做的 = 主體實際做的。
可以看到，權(quán)限控制基本對應(yīng)于filter模式。subject試圖去做的事情應(yīng)該由業(yè)務(wù)邏輯決定，因而應(yīng)該編碼在業(yè)務(wù)系統(tǒng)中。
先考慮最粗粒度的控制策略，控制點加在subject處，即無論從事何種操作，針對何種資源，我們首先需要確認subject是受控的。只有通過認證的用
戶才能使用系統(tǒng)功能，這就是authentication。boolean isAllowed subject)
稍微復(fù)雜一些，控制可以施加在subject和operation的邊界處（此時并不知道具體進行何種操作），稱為模塊訪問控制，即只有某些用戶才能訪問特定模塊。isAllowed(subject, operation set)
第三級控制直接施加在operation上，即操作訪問控制。operation知道resource和subject（但它尚沒有關(guān)于resource
的細節(jié)知識)，我們能夠采取的權(quán)限機制是bool isAllowed(subject, operation, resource),
返回true允許操作，返回false則不允許操作。
最簡單的情況下，subject與resource之間的訪問控制關(guān)系是靜態(tài)的，可以直接寫成一個權(quán)限控制矩陣
for operationA:
resourceA resourceB
subjectA 1 0
subjectB 0 1
isAllowed(subjectA, resourceA)恒等于true
如果多個operation的權(quán)限控制都可以通過這種方式來表示，則多個權(quán)限控制矩陣可以疊加在一起
for operationA, operationB:
resourceA resourceB
subjectA 10 01
subjectB 01 11
當subject和resource的種類很多時，權(quán)限控制矩陣急劇膨脹，它的條目數(shù)是N*M。很顯然，我們需要進行矩陣分解。這也是最基本的控制手段之一: 在系統(tǒng)中增加一個瓶頸，或者說尋找到隱含的結(jié)構(gòu)。
subject_resource = subject_role * role_resource
這
樣系統(tǒng)權(quán)限配置條目的數(shù)量為 N*R + R*M, 如果R的數(shù)目遠小于subject和resource，則實現(xiàn)簡化。這稱為RBAC(role
based access control)，它的一個額外好處是權(quán)限系統(tǒng)的部分描述可以獨立于subject存在，即在系統(tǒng)中沒有任何用戶的時候，通過角色仍然可以表達部分權(quán)限信息。可以說角色是subject在權(quán)限系統(tǒng)中的代理(分解)。
有時候引入一個瓶頸還不過癮，有人引入組的概念，與role串聯(lián)，
subject_resource = subject_group_role * role_resource
或著group與role并聯(lián),
subject_resource = subject_group * group_resource
與role稍有不同，一般情況下group的業(yè)務(wù)含義更加明顯，可能對應(yīng)于組織結(jié)構(gòu)等。將組織機構(gòu)明確引入權(quán)限體系，有的時候比較方便，但對于權(quán)限系統(tǒng)自
身的穩(wěn)定性而言，未見得有什么太大的好處。并聯(lián)模式有些多余，串聯(lián)模式又過于復(fù)雜，細節(jié)調(diào)整困難，特別是多條控制路徑造成的沖突情況。一般情況下，我不提
倡將group引入權(quán)限控制中。
比操作控制更加深入的控制就是數(shù)據(jù)控制了，此時需要對于resource的比較全面的知識。雖然表面上，仍然是
boolean isAllowed(subject, operation,
resource)，但控制函數(shù)需要知道resource的細節(jié)。例如行級控制(row-level)或者列級控制(column-level)的實現(xiàn)。
因為我們一般情況下不可能將每一個條目都建模為獨立的resource，而只能是存在一個整體描述，例如所有密級為絕密的文檔。在witrix平臺中，數(shù)
據(jù)控制主要通過數(shù)據(jù)源的filter來實現(xiàn)，因為查詢條件（數(shù)據(jù)的定位條件)已經(jīng)被對象化為Query類，所以我們可以在合適的地方自由的追加權(quán)限控制條
件。
以上的討論中，權(quán)限控制都是根據(jù)某些靜態(tài)描述信息來進行的，但現(xiàn)實世界是多變的。最簡單的，當subject從事不同業(yè)務(wù)時，對應(yīng)于同一組資源，也可能對
應(yīng)的權(quán)限控制并不同(在witrix平臺中,對應(yīng)于IDataSource的模式切換)。更復(fù)雜一些, 在不同的時刻,
我們需要根據(jù)其他附加信息來作出是否允許操作的判斷, 即此時我們權(quán)限設(shè)置的不僅僅是一些靜態(tài)的描述信息, 而是一個完整的控制函數(shù),
這就是所謂的工作流權(quán)限控制,一種動態(tài)權(quán)限控制.