Контроль доступа: ACL, RBAC и ABAC – кто что может?

Коротко: Аутентификация выясняет, кто это, авторизация — что этому лицу разрешено; распространённые модели — списки доступа (ACL), роли (RBAC) и атрибуты на основе правил (ABAC).

Подробнее: Два вопроса часто путают: аутентификация («Кто ты?», вход) и авторизация («Что тебе разрешено?»). Для второго любому приложению нужна модель разрешений.

Подробности

ACL: списки управления доступом

Для каждого ресурса есть список людей/групп и разрешений.

RBAC и ABAC

RBAC привязывает разрешения к ролям (например, «редактор»); ABAC — к правилам на основе атрибутов (отдел, время, местоположение).

См. также: аутентификация, наименьшие привилегии, OWASP Top 10