ABAC（基于属性的访问控制）在微服务架构中逐渐取代传统的RBAC，但实际落地时往往因属性分散、策略膨胀而失败。本文先给判断路径，再逐步拆解设计要点。
何时选择ABAC而非RBAC
如果权限规则仅依赖角色（如管理员、普通用户），RBAC足够。但当规则需同时考虑用户部门、资源标签、请求时间、IP地址等多维度属性时，ABAC更灵活。判断依据是：规则中非固定属性超过两个，且需要动态组合。例如，多租户SaaS中，租户A的管理员不能访问租户B的数据，即使角色相同——此时必须用属性（tenantId）区分。
另一个信号是权限规则频繁变化。RBAC修改角色定义需同步所有服务，而ABAC策略可集中更新并实时生效。但ABAC也有代价：属性一致性难保证，策略引擎可能成为性能瓶颈。因此，建议混合使用：核心权限用RBAC，动态规则用ABAC。
属性定义与来源
ABAC的决策依赖三类属性：主体属性（用户ID、部门、角色）、资源属性（数据标签、所属租户）、环境属性（时间、IP、请求路径）。在微服务中，属性通常分散在不同服务：用户属性来自认证服务，资源属性来自业务服务，环境属性由网关填充。设计时需统一属性命名规范（如使用URN格式），并通过JWT或请求头传递。
避免在策略中硬编码属性值，应引用属性来源的声明式定义。例如，策略规则写成“主体.部门 == 资源.所属部门”，而不是“主体.部门 == ‘财务部’”。这样属性值变化时无需修改策略。同时，注意属性值的有效期：环境属性（如当前时间）应实时获取，而用户属性可缓存但需设置TTL。
策略引擎架构
策略引擎是ABAC的核心，负责接收请求上下文（属性集合）并匹配策略集。典型架构包括：策略管理点（PAP）集中存储策略，策略决策点（PDP）执行评估，策略执行点（PEP）在服务中拦截请求并请求PDP。在微服务中，PDP可作为独立服务部署，通过gRPC或HTTPAPI提供决策。
策略存储建议使用Git作为版本控制，策略格式可选择ALFA或XACML简化版。评估流程分四步：提取属性、加载所有匹配策略、逐一评估条件、合并决策结果（permit/deny）。若多条策略冲突，需定义优先级或最优规则（例如“拒绝优先”）。
性能优化策略
ABAC性能瓶颈在于属性检索和策略评估。优化方法包括：1）属性预载：将常用属性（如用户角色）缓存到PDP本地，避免每次远程调用。2）策略索引：按资源类型或主体标记分组，避免全量加载。3）决策缓存：对相同属性组合的结果缓存（TTL<5秒），注意环境属性如时间不能缓存。4）使用异步评估：对非关键路径（如日志脱敏）可异步处理。
实际测试显示，单次决策应控制在10毫秒内。若超过，需检查策略数量（建议不超过200条）或属性来源响应速度。另外，PDP需要弹性伸缩，因为流量波动大。建议基于决策请求数设置HPA。
常见场景与操作步骤
多租户数据隔离
场景：一个微服务同时为多个租户服务，用户只能看到自己租户的数据。操作步骤：1）在API网关解析JWT，提取用户ID和租户ID（主体属性）；2）业务服务从数据库读取资源时，资源附带租户ID（资源属性）；3）PDP收到请求后，检查策略：主体.租户ID == 资源.租户ID；4）若匹配，返回Permit，服务执行查询；否则返回Deny。注意，数据库层面仍需水平分区（如Schema隔离），ABAC只在应用层加固。
API网关权限校验
场景：不同用户对同一API端点有不同操作权限（如GET/订单 vs DELETE/订单）。步骤：1）网关拦截请求，将路径和方法转为资源类型（如order:delete）；2）提取用户角色、部门、IP（主体和环境属性）；3）PDP评估策略：如“角色==管理员 AND 部门==’研发’ AND IP在内网段”才允许DELETE；4）网关根据决策结果放行或返回403。这种方式可避免每个微服务重复实现权限逻辑。
动态数据脱敏
场景：用户查看客户资料，信用卡号根据角色显示完整或掩码。步骤：1）业务服务调用PDP，传入主体和资源属性；2）PDP返回决策结果（Permit on Masked）并附带脱敏规则（如显示后四位）；3）服务根据规则处理数据。注意，脱敏规则可作为策略的资源动作属性。这种方法适合细粒度数据保护，但需权衡性能。
限制条件与常见误区
首先，属性同步延迟可能引发误判。例如用户调动部门后，属性缓存未更新仍按旧部门授权。解决：使用事件驱动（如Webhook）主动刷新属性缓存，或缩短TTL。其次，策略数量膨胀后管理困难：建议组织策略时按资源域拆分，并定期审查废弃规则。另外，避免“万能策略”：一条规则涵盖所有情况会导致安全漏洞，应坚持最小权限。
常见误区包括：1）忽略默认拒绝：务必在PDP中设置deny-unless-permit规则。2）属性注入攻击：通过修改请求头中的属性来提升权限。应在网关处验证属性可信来源（如签名JWT）。3）过度设计：对于简单场景用ABAC反而增加复杂度，先评估实际需求。
总之，ABAC在微服务中既强大又脆弱，关键在于平衡灵活性与运营成本。遵循本文的判断路径与步骤，可以避免多数陷阱，构建稳健的权限系统。
参考资料
延伸阅读