访问控制：变更、排障与恢复自检

策略发布、撤销与决策审计

维护访问控制模型前先保存可信主体、含租户的资源标识、动作与策略版本，恢复后以精确允许、显式拒绝和未知资源判定验收。具体配置见配套示例。

策略发布与恢复

策略发布先审阅差异与受影响主体，再用固定用例检查允许、拒绝、跨租户和未知资源。原子切换已验证策略版本，失败恢复到上一份已批准旧版本；不要恢复到不受限的空策略。把策略与业务代码版本关联，便于解释历史决策。

决策日志与隐私

决策日志记录主体标识、资源、动作、结果、原因和策略版本，避免写入访问令牌与完整个人数据。拒绝日志也可能包含用户探测信息，需限制读取与保留周期。日志用于解释已发生的决策，不能替代实际执行点或证明没有旁路。

练习与参考解答

练习：策略v8准备替换v7，回归发现未知资源被允许。能否发布后靠日志观察？列出恢复时必须保留的两个版本信息。

参考解答

应拒绝此次发布，保留上一份已批准的v7并修复v8。记录策略版本/差异及对应业务代码版本，同时保存允许、拒绝、跨租户、未知资源的固定案例。恢复到v7不等于恢复成空策略或全通配许可；日志记录结果不能补救漏掉的执行点。

误拒绝、越权与缓存排障

本节沿精确允许、显式拒绝和未知资源判定定位失败层；先确认可信主体、含租户的资源标识、动作与策略版本，与配套示例逐项对照，再选择最小修复。

合法请求被拒

合法请求被拒先从可信主体开始核对，再查资源规范化、动作命名、角色映射和策略版本。不要直接加通配允许掩盖差异。对比最小请求和命中规则，明确是缺少许可、显式禁止还是策略读取失败，修复后保留对应回归样本。

越权和冲突反例

越权排查必须覆盖跨租户请求，即同角色不同租户、角色叠加、显式拒绝与允许冲突、未知资源和批量路径。若存在超级用户旁路，应独立审计并限制范围，不能把它当普通模型的默认能力。离线程序只证明教学规则的预期，不是生产鉴权库安全认证。

练习与参考解答

练习：alice在租户A获准，访问租户B同名资源也被放行。看到一条allow日志能否认定授权正常？下一步核对哪些字段与路径？

参考解答

不能，这可能是跨租户资源规范化或缓存键缺失。对齐可信租户、实际资源所有者、动作、命中规则和策略版本，再查单条/批量/异步执行点是否一致；显式deny与未知资源也要有反例。不能通过加通配允许修复错误拒绝，更不能用前端隐藏按钮代替服务端检查。

撤销权限后仍可访问的复盘

以下演练将访问控制模型的变更、失败证据和恢复验收串起来；先熟悉配套示例中的可信主体、含租户的资源标识、动作与策略版本。演练未执行。

故障场景与影响

角色已移除，部分请求仍然能够访问原本应拒绝的资源。

先记录首次异常时间、受影响对象和最近变更，区分个别对象失败与整条管理链路异常。以下是排查演练，不是已发生事故的实测记录。

按证据定位原因

1. 记录主体、资源、动作、租户、决策结果和策略版本，不保存原始令牌。
2. 比较不同实例加载的版本、缓存键与失效时间，确认撤销是否传播到所有决策进程。
3. 逐个核对直接访问、批量处理和后台任务的执行点，查找绕过授权或复用旧结果的路径。

恢复步骤与验收

让撤销传播到相关实例并清理准确范围内的授权缓存；若发现执行点缺失，先限制该入口。恢复策略时保留必要拒绝，不回退成全量放行。

验收：原应允许的操作仍成功，被撤销主体、跨租户和未知资源请求均拒绝；多个实例记录一致策略版本及可解释决策。

将触发条件、直接原因、修复动作、恢复证据和后续检查写入同一份复盘，明确每项后续工作的负责人。机制参考：官方说明。

机制自检

自检：根据上面的场景画出故障链，标出每一项证据来自哪个对象、发生在哪个时间。说明恢复动作改变了什么，以及为什么其他原本允许或拒绝的操作仍符合预期。

参考解答与误区

问题一：alice在tenant-a有read，能否读取tenant-b同名资源？

答案：不能。租户是资源标识的一部分，无精确允许规则时默认拒绝，不能仅凭相同角色或资源尾部名称复用允许结果。

问题二：同一请求同时命中allow与deny，调整文件行顺序能放行吗？

答案：在本课拒绝优先模型中不能，deny优先且规则顺序无关。其他引擎必须核对具体effect，不能泛化此结论。

问题三：策略加载异常是否可以临时全部允许？

答案：不可以。保持上一份批准策略或按明确降级方案拒绝请求，记录版本和原因；缓存允许结果也需受撤销传播上限约束。

验收与未验证项

验收应覆盖正常操作、预期拒绝和恢复后的再次操作，并记录实际版本、身份、配置及结果。本文示例未执行；配置审阅与离线推演不能替代真实环境的连通、权限和恢复验证。

版本、来源与进一步阅读

核对日期：2026-10-17。教学版本族：Casbin模型概念及Windows访问控制对象；教学规则独立实现，无第三方库。固定源码用于重现字段，动态官方网页用于补充说明，不称为2026最新版本。具体字段与语义以本节所列一手资料及目标版本手册为准。

• Casbin模型语法
• Windows访问控制中文文档
• Casbin效应