大讲堂
上周帮朋友排查公司OA的配置，翻了半小时权限组，发现整个行政部的所有人，都能看到全公司的薪资发放明细。
离谱吗？
更离谱的是，运维的人说，这是去年上系统的时候图省事，直接把”全员可见”勾上了，没人想到要改。
这不是什么黑客渗透，不是0day漏洞，就是最基础的访问控制出了问题。说出来可能有人不信，现在国内有超过六成的中小微企业，内部权限管理还停留在”谁能登系统”的阶段，根本谈不上什么边界划分。
你以为的访问控制，可能连及格线都摸不到
很多人对访问控制的认知，还停留在小区门禁的水平——输对密码、刷对卡，就能进大门，进了大门之后去哪，没人管。
但实际上，访问控制的本质从来不是”挡人”，是给每一个主体（人、程序、设备）和客体（文件、接口、数据）之间的交互，定清楚”能不能、做什么、留不留痕”的规则。它的核心作用是降低越权的概率，而不是彻底杜绝越权——毕竟你给了别人开门的权限，他进去之后拿了啥，门禁管不了。
早年的访问控制模型很简单，最早是自主访问控制（DAC），就是文件所有者自己设权限，你电脑里的文件夹你想共享给谁就共享给谁，问题也很明显：你设完共享忘了改，或者不小心给了所有人可读的权限，就会出现数据泄露，刚才说的OA薪资表的问题，本质就是DAC的遗留问题。
后来的强制访问控制（MAC）更刚，常见于军工、涉密场景，给所有数据定密级，给所有用户定权限等级，级别不够哪怕你是部门负责人，也碰不到更高密级的文件。但这套逻辑太僵硬，民用场景根本用不起来——总不能让普通员工看个请假条都要查密级吧？
现在大多数企业用的都是基于角色的访问控制（RBAC），就是给不同的岗位定不同的权限：财务角色能看薪资表，销售角色能看客户数据，普通员工只能看自己的考勤和请假记录。这套逻辑比前两种灵活多了，也是现在的行业标配。
但哪怕是RBAC，也有很明显的边界。它只管你这个角色该有的权限，管不了你拿到权限之后干啥——比如财务把薪资表导出来卖钱，RBAC拦不住，因为财务本来就有权限看。
从”按角色分”到”按上下文分”，访问控制已经悄悄换了一代
过去十年，国内企业的访问控制认知，基本是跟着合规要求走的。等保2.0要求做权限分级，就赶紧上个权限管理系统；《个人信息保护法》要求给用户授权提示，就赶紧在APP里加个权限弹窗。很少有人真的想过，访问控制到底是为了什么。
不过话说回来，这两年的行业变化确实快。现在的访问控制早就不是给你分好角色就完事了，而是开始做动态的、基于上下文的判断——也就是大家常说的零信任框架里的细粒度访问控制。
什么意思？举个很简单的例子：你平时都是用北京公司的办公电脑，工作日的9点到18点登OA处理工作，系统默认给你开正常的权限。但如果某天凌晨三点，你突然用一个境外的陌生IP登OA，还要导出全公司的客户名单，哪怕你输对了密码，刷对了二次验证码，系统也会直接把这个操作拦下来——因为这个行为的风险等级太高了，根本不符合你平时的使用习惯。
动态访问控制的核心，就是不再给用户一次性的、永久的权限，而是每一次交互都实时评估风险：你是谁？你在哪？你用的什么设备？你要做的事是不是你最近常做的？风险低就放行，风险高就拦下来或者走额外审批。
这套逻辑现在已经在很多互联网公司落地了。比如某头部电商的内部开发人员，要访问生产数据库里的用户订单数据，不仅要走审批，每次查询的操作都会被录屏，要是有人批量导出用户手机号，系统会自动触发告警，甚至直接断开数据库连接。
民用场景的落地就更常见了。你给APP授权的时候，现在很多APP已经能做到”仅在使用期间允许”读取位置或者相册，而不是之前的”始终允许”；微信的朋友圈权限能设置”仅最近三天可见”，支付宝的免密支付能自己定额度，这些本质都是细粒度访问控制的民用落地。
产业链的变化也很明显。原来做传统权限管理的安全厂商，现在基本都在往零信任方向转；云厂商早就把访问控制做成了云服务的基础组件，你用云服务器、云数据库，默认就带权限管理的功能，不用再单独买第三方产品。甚至现在很多做智能家居的厂商，都开始给设备加细粒度的权限——比如你可以给智能摄像头设置”仅在家的时候开启”，或者不让音箱随便听你的对话。
访问控制的最大漏洞，从来都不是技术
说出来你可能不信，现在大多数企业的访问控制问题，根本不是技术不行，是管理乱。
最常见的就是僵尸权限。比如员工从公司离职了，但是他的系统权限没删，过了半年他还能登公司的OA、邮箱，甚至能看内部的客户数据。行业里普遍的情况是，中型企业的僵尸权限占比能到20%以上，有的甚至能到一半——毕竟几百个员工，几十个系统，谁能记得住谁该删权限？
更讽刺的是，很多企业花了大价钱上了最先进的动态访问控制系统，结果为了方便，给所有中层管理员开了”一键绕过”的权限。你说这系统有啥用？
不过话说回来，也不能全怪企业。现在的访问控制配置确实太复杂了，一个中型企业的内部系统，权限组能有上百个，角色能有几十种，每次有新员工入职，要配半小时权限，谁不烦？很多运维为了省事，直接给所有新员工开”默认全员权限”，省得一个个配，最后就变成了所有人都能看所有东西。
除了管理的问题，还有伦理和治理的空白。访问控制的本质是一种权力——谁能看什么，谁能做什么，都是定规则的人说了算。现在很多企业把访问控制的”留痕”功能，变成了监控员工的工具：你在公司电脑上敲的每一个字，浏览的每一个网页，甚至离开座位多久，系统都能记录下来，最后算成你的”摸鱼时长”。更极端的例子就是公共领域的权限管控，比如之前的健康码，你去了高风险地区，系统自动锁你的出行权限，这个规则是谁定的？边界在哪里？有没有人监督？这些问题现在都没有明确的答案。
还有新出现的大模型场景的漏洞。现在很多企业把内部知识库接给了大模型，要是权限没做好，员工问大模型要别的部门的机密数据，大模型直接就吐出来了。甚至还有人通过prompt注入，绕过了大模型的权限限制，把系统的内部提示词导出来，这个坑现在已经有不少公司踩过了。
未来3到5年，访问控制这个赛道会出现三个很明显的变化：
第一，静态权限会快速淘汰。现在那种”一次授权，半年有效”的模式，会被基于实时风险的动态授权取代。比如你是销售，平时只能看自己负责的客户数据，要是你突然要导出全国的客户列表，系统会自动判断这个操作的风险等级，要么弹二次验证，要么直接推给你的主管审批，根本不会给你随便导的权限。
第二，大模型场景的访问控制会成为新的刚需。现在很多企业把内部知识库接给了大模型，要是权限没做好，员工问大模型要别的部门的机密数据，大模型直接就吐出来了。这个坑现在已经有不少公司踩过了，接下来肯定会出现专门给大模型做权限隔离的产品。
第三，面向C端的访问控制会越来越透明。之前你给APP授权，都是一锤子买卖，要么允许要么拒绝，接下来会出现更细的权限粒度，比如你可以给APP授权”只能在前台的时候看我的相册”，或者”只能读取最近7天的位置信息”，不用再为了用个功能，把自己的所有隐私都交出去。
说穿了，访问控制从来都不是什么高大上的技术，它就是数字世界里的”门禁”加”台账”。
你家门锁要是装得再高级，你自己天天把钥匙贴在门上，那锁有啥用？
数字世界的边界，从来都是人定的，也是人守的。
作者|大讲堂
排版|大讲堂
审核|小北