身份认证与访问授权
企业权限、数据安全与 AI 风险控制#FDE#第十八阶段#企业权限、数据安全与 AI 风险控制#身份认证与访问授权约 376 字 · 1 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
认证与授权为什么必须分开设计？
追问 登录成功能否代表可以读取所有工单？
应用如何取得可信用户身份？
追问 客户端字段、服务端会话和签名凭证如何区分？
RBAC 与 ABAC 各适合什么授权条件？
追问 角色、部门、资源归属和时间怎样组合？
服务端应在哪些请求边界执行鉴权？
追问 列表、详情、下载、检索和工具调用是否都要覆盖？
默认拒绝策略应怎样落地？
追问 缺少角色、资源属性或权限元数据时如何处理？
对象级授权怎样防止按 ID 访问他人记录？
追问 ID 不易猜测是否足以替代归属检查？
共享链接如何限定用途与期限？
追问 转发、过期和撤销后访问应怎样验证？
用户离职或权限撤销怎样及时生效？
追问 会话、缓存、后台任务和现有链接如何处理？
管理员访问客户数据应有哪些约束？
追问 临时授权、理由、有效期和审计怎样安排？
怎样验证不同角色的权限矩阵？
追问 允许操作与禁止操作的测试怎样同时维护？