累积权限模型与业务部门分层

基于角色的访问控制（RBAC）中，权限授予是累积且取最大值的：一旦某个角色被赋予了组织级的读取权限，就无法通过其他角色配置反过来对某条具体记录”隐藏”起来——权限只能叠加，不能用另一条规则覆盖收窄。因此安全边界的真正控制点不在角色本身，而在建模阶段就用业务部门的树状层级去限定数据可见范围（组织级/父子部门级/本部门级/仅本人），角色只是在这个既定边界内决定能做什么操作。发散：这解释了为什么现实项目里最常见的权限事故是”权限授予过度”而非”授权不足”——只要有一条规则把口子开大了，就没有办法用另一条规则把它缩小回去，所以设计权限模型时必须从最小范围开始逐步放宽，而不是先给大范围再想办法收紧。这里划定的可见范围边界，正是[[行级安全与列级安全的正交性]]中”行级安全”的来源。