自主访问控制与强制访问控制对比是理解两种主流安全模型的关键路径。自主访问控制（DAC）和强制访问控制（MAC）在权限管理的决策权归属上存在根本差异，这种差异源于“自主”与“强制”两种核心概念的对立。
自主与强制：概念根源
根据来源资料，自主被定义为“个体或系统能够独立地做出决策、行动，并对自己的行为负责”，强调“自我决定和自我控制的能力”。同样，查字典将自主解释为“个体或组织独立自主地行动，不受他人控制或干涉”。在访问控制领域，自主访问控制（DAC）正是基于此理念：主体（用户或进程）有权自主决定其创建对象的访问权限，例如将文件读/写权限授予其他用户。相反，强制访问控制（MAC）则剥离主体的自主决策权，权限分配由系统根据预先制定的全局安全策略强制执行，主体无法更改或转让权限。
DAC与MAC的核心区别
- 决策权归属：DAC中主体拥有权限控制权，可自主授予或撤销权限；MAC中权限由系统集中管理，主体只能被动遵守。
- 安全性：DAC灵活但易因用户误操作或恶意行为导致权限泄露；MAC通过严格规则限制信息流动，安全性更高，适用于多级安全环境。
- 实现复杂度：DAC实现简单，典型如Unix文件权限；MAC需要复杂的标签系统和规则引擎，如SELinux。
应用场景分析
DAC适用于协作环境，如企业内部文档共享，用户可根据需要灵活授权。MAC则适用于高安全需求场景，如军事系统、政府机密数据，必须防止信息从高安全级流向低安全级。具体选择取决于安全策略与可用性的平衡：若需个体自主性，选DAC；若需强制保护，选MAC。
常见误区
- 误区一：DAC安全性一定低于MAC。 实际取决于实现和配置，正确配置的DAC配合最小权限原则也能提供良好安全。
- 误区二：MAC完全禁止主体决策。 主体仍可在规则允许范围内操作，但无权修改策略本身。
需要明确，以上对比基于通用模型，具体系统实现可能存在差异。例如，某些系统混合使用DAC和MAC，或通过扩展机制增加灵活性。
参考资料
延伸阅读