2020-11-02 | Backend 中文
Django RBAC：用户、组与权限如何协作
bibi45
用角色聚合权限，用服务端检查保护每个后台操作。
This article is currently available in Chinese. The language switch changes the site interface; the original text is shown below.
角色通常是权限集合，而不是散落在前端代码中的 if 判断。Django 的用户、组和权限模型可以表达基础 RBAC，但复杂资源范围还需要对象级或领域级规则。
权限授予、撤销和高风险操作应记录审计日志。后台 UI 只用于改善体验；真正的权限判断必须在 API 和业务层执行。