RBAC（基于角色的访问控制）作为最常见的权限管理模型之一，广泛应用于各种系统中。
它以“角色”为核心，将权限与角色绑定，用户再通过角色获取权限，从而实现权限的集中管理与分级控制。
但很多企业虽然上线了 RBAC 模型，真正落地时却问题频出。RBAC，你真的用对了吗？
1. 是否将“职责”与“角色”混淆
角色不等于职位或工号，应与系统内的操作职责强绑定。
错误地将岗位名称直接当作角色名，容易导致权限边界模糊，使得权限过宽或重复设置。
2. 是否控制到了操作级别
真正有效的 RBAC 应该支持操作级权限粒度控制。
仅“查看/编辑”分类远远不够，需支持细化到创建、下载、分享、归档等行为，避免权限滥用。
3. 是否建立了“最小权限”模型
RBAC 的价值之一在于通过角色划分实现最小权限分配。
但现实中很多角色被授予了冗余权限，仅仅为了“方便”，反而埋下风险隐患。应定期梳理角色权限边界。
4. 是否支持动态调整和继承
组织结构变更频繁，手动一一修改权限效率极低。
RBAC 应支持角色继承与自动映射，配合组织架构调整动态更新，减少人为失误。
5. 是否配套审计与日志机制
权限设置仅是第一步，更关键的是有日志留痕机制，确保每一次权限使用都可追溯。审计机制才能真正实现“看得见”的控制。
结语
RBAC 不是一个“开关”功能，而是一套逻辑严谨、动态可调、审计可查的权限控制体系。
与其说“用没用”，不如问一句：你用对了吗？