好未来有学生、教师、管理员三种角色，教师只能查看自己班级的课程，管理员可管理所有课程。请设计一个基于角色的访问控制（RBAC）模型，并说明如何实现。
好未来安全攻防难度：中等
答案
1) 【一句话结论】基于角色的访问控制（RBAC）模型通过定义“教师”“管理员”角色，将“查看课程”“管理课程”等权限分配给角色，再将用户绑定到对应角色，实现权限管理：教师仅能查看自己班级的课程，管理员拥有全课程管理权限。
2) 【原理/概念讲解】RBAC的核心思想是“角色”作为中间层，连接用户和权限。简单来说，角色是“岗位”（如教师、管理员），权限是“岗位的职责”（如查看课程、管理课程），用户是“具体的人”（如张老师、李管）。我们通过三个步骤实现：
- 定义角色：明确“教师”（只能查看自己班级课程）、“管理员”（管理所有课程）两种角色；
- 分配权限到角色：教师角色关联“查看课程”权限，管理员角色关联“查看课程”和“管理课程”权限；
- 将用户绑定到角色：教师用户（如张老师）绑定教师角色，管理员用户（如李管）绑定管理员角色。
当用户访问系统时，系统通过查询用户所属角色，再查询角色对应的权限，结合条件（如教师只能看自己班级的课程），决定是否允许操作——这就像“先看岗位（角色），再看职责（权限），最后检查岗位的规则（条件）”，实现权限的精准控制。
3) 【对比与适用场景】
| 项目 | 定义 | 特性 | 使用场景 | 注意点 |
|---|---|---|---|---|
| RBAC | 基于角色的访问控制，通过角色管理权限 | 灵活性高（角色可扩展）、可扩展性强（用户和角色解耦）、权限集中管理 | 角色分明的系统（如企业、教育平台） | 需要明确角色边界，避免权限冲突 |
4) 【示例】
- 数据库表结构：
- 用户表（user）：user_id（主键）、name、class_id（教师所属班级）；
- 角色（role）：role_id（主键）、role_name；
- 权限（permission）：perm_id（主键）、perm_name；
- 角色权限关联（role_permission）：role_id（外键）、perm_id（外键）；
- 用户角色关联（user_role）：user_id（外键）、role_id（外键）。
- 示例数据：
- 角色：教师（role_id=2）、管理员（role_id=3）；
- 权限：查看课程（perm_id=1）、管理课程（perm_id=2）；
- 角色权限关联：教师角色关联“查看课程”（perm_id=1），管理员角色关联“查看课程”（perm_id=1）和“管理课程”（perm_id=2）；
- 用户：张老师（user_id=1，class_id=101，绑定教师角色）、李管（user_id=2，绑定管理员角色）。
- 实现逻辑（伪代码）：
当用户请求“查看课程”时：- 查询用户所属角色（通过user_role表）；
- 查询角色对应的权限（通过role_permission表）；
- 如果角色是“教师”且权限是“查看课程”，则检查用户class_id是否等于课程所属班级，满足则允许；否则拒绝；
- 如果角色是“管理员”，则直接允许。
5) 【面试口播版答案】
面试官您好，针对好未来的学生、教师、管理员三种角色，我设计的RBAC模型核心是通过角色作为中间层，实现权限的集中管理。首先定义角色：教师（只能查看自己班级课程）、管理员（管理所有课程）。然后分配权限：教师角色关联“查看课程”权限，管理员角色关联“查看课程”和“管理课程”权限。接着将用户绑定到角色：教师用户绑定教师角色，管理员用户绑定管理员角色。实现时，通过数据库中间表（角色-权限、用户-角色）和条件查询（如教师只能看自己班级的课程），控制访问。这样既能满足教师仅查看自己班级课程的需求，又能让管理员全权管理，同时保持权限管理的灵活性和可扩展性。
6) 【追问清单】
- “如何处理教师跨班级临时权限（比如代课）？”
回答要点：通过临时角色或权限临时授予，比如在用户角色关联表中添加临时角色，或给用户临时增加“查看其他班级课程”的权限，并在一定时间后自动回收。 - “管理员如何审计权限变更？”
回答要点：在角色-权限关联表中记录变更日志（操作人、时间、权限变更内容），或使用审计系统记录所有权限变更操作。 - “RBAC和ACL（访问控制列表）的区别？”
回答要点：RBAC通过角色管理权限，适合角色分明的系统；ACL直接将权限分配给用户，适合权限粒度细的系统。好未来场景中，角色边界清晰，所以RBAC更合适。 - “如何扩展角色（比如新增“家长”角色）？”
回答要点：只需在角色表中新增“家长”角色，然后根据需求分配权限（如查看孩子课程），无需修改用户或现有权限结构。 - “权限的动态变更（比如教师权限调整）如何处理？”
回答要点：通过更新角色-权限关联表中的权限，或给用户重新绑定角色，实现权限的动态调整，同时记录变更日志。
7) 【常见坑/雷区】
- 忘记条件限制（如教师只能看自己班级的课程）：没有在权限检查中加入班级ID条件，导致教师可以查看其他班级课程；
- 混淆角色和权限的关联：直接将权限分配给用户，而不是通过角色，导致权限管理混乱；
- 未说明实现方式：只讲概念，没有给出数据库表结构或中间件实现，显得不具体；
- 忽略动态权限变更：没有提到如何处理权限的动态调整（如教师权限临时变更），显得模型不够灵活；
- 管理员权限边界不清：没有明确管理员拥有“管理所有课程”和“查看所有课程”的权限，导致权限范围不明确。