设计一个初中物理教学资源库的权限控制方案，确保不同角色（教师、学生、管理员）的访问权限符合教育规范和安全要求。

1) 【一句话结论】：采用基于角色的访问控制（RBAC）模型，为教师、学生、管理员分配分层角色，通过角色绑定细粒度权限（如资源查看、编辑、上传、评分等），确保教育规范下的安全访问，并支持权限审计与动态调整。

2) 【原理/概念讲解】：核心是基于角色的访问控制（RBAC），即用户通过“角色”获得权限。角色是用户组的抽象（如“教师”角色包含所有物理教师），权限是具体操作（如“编辑课程课件”“批改学生作业”）。类比：就像学校里的职位，班主任（角色）有管理班级资料权限，学生（角色）只能查看自己的作业，管理员（角色）能管理所有系统。RBAC的优势是简化权限管理，避免直接给用户授权，减少权限冗余。

3) 【对比与适用场景】：

模型	定义	特性	使用场景	注意点
RBAC	基于角色的访问控制，用户通过角色获得权限	角色是用户组的抽象，权限绑定角色，用户分配角色	需要明确角色和权限的静态关系，如学校、企业内部系统	可能权限粒度不够细，需结合细粒度控制
ABAC	基于属性的访问控制，权限由用户属性、资源属性、环境属性决定	权限动态计算，更灵活	需要复杂属性模型，如金融、医疗系统	实现复杂，计算开销大

4) 【示例】：伪代码示例（权限规则）：

• 管理员（admin）：{ "action": "manage", "resource": "*", "method": "*" }（全权管理用户、资源、系统配置）。
• 教师（teacher）：{ "action": "edit", "resource": "course/{courseId}/resource", "method": "put,post" }（编辑自己课程下的物理资源，如课件、实验视频）。
• 学生（student）：{ "action": "view", "resource": "assignment/{assignmentId}", "method": "get" }（查看分配给自己的练习题、实验报告，提交作业）。

5) 【面试口播版答案】：
面试官好，针对初中物理教学资源库的权限控制，我建议采用基于角色的访问控制（RBAC）模型。首先，明确三个核心角色：管理员、教师、学生。管理员拥有最高权限，可全权管理用户、资源、系统配置；教师可编辑自己课程下的物理资源（如课件、实验视频），批改学生作业，查看学习进度；学生只能查看分配给自己的学习资源（如课件、练习题），提交作业，查看反馈。通过角色绑定细粒度权限，比如教师不能访问其他教师的课程资源，学生不能编辑任何资源。同时，系统需记录所有操作日志，支持审计，确保安全。这样既符合教育规范（如教师主导教学资源，学生按需学习），又保障数据安全。

6) 【追问清单】：

• 问：如何动态调整学生权限（如小组合作时允许学生共享资源）？
  答：通过临时角色或权限临时授予，比如教师创建“小组协作”角色，赋予学生查看和编辑小组资源的权限，任务结束后权限自动回收。
• 问：如何防止学生下载敏感资源（如教师课件）？
  答：对敏感资源（如教师课件）设置访问控制，仅教师可下载，学生只能在线查看；同时，系统记录下载行为，管理员可审计。
• 问：管理员如何管理大量教师的权限？
  答：通过角色模板，比如“初中物理教师”角色模板包含默认权限，管理员只需分配角色给教师，无需逐个设置权限，简化管理。
• 问：系统如何处理学生间的协作需求（如共同编辑实验报告）？
  答：为协作任务创建临时角色，赋予成员编辑权限，任务结束后权限自动撤销，确保资源安全。

7) 【常见坑/雷区】：

• 权限过于宽松：学生能访问教师资源，导致数据泄露。
• 角色与权限绑定不明确：教师角色权限不清晰，导致操作越权。
• 忽略审计日志：无法追踪异常操作，难以追溯问题。
• 未考虑数据加密：敏感资源未加密，传输或存储时被窃取。
• 动态权限管理不足：无法灵活调整角色权限，如临时任务需要额外权限。