在统一身份与访问管理的建设中，权限模型的选择往往决定了后续治理的成本。基于角色的访问控制（RBAC）与基于属性的访问控制（ABAC）并非对立，关键在于根据场景判断哪种方式更可维护，而不是追求模型的理论完备。
RBAC 的逻辑是把岗位或职责映射到一组固定权限。它的优势在于直观、可解释，审批人能够据岗位职责判断申请是否合理，权限边界清晰且便于复核。但当个性化需求增多时，RBAC 容易陷入“角色爆炸”：为每个细分场景单独建角色，反而让权限结构难以维护。因此 RBAC 更适合规则稳定、重复出现、覆盖面广的工作场景。
ABAC 则依据部门、岗位、成本中心、区域等身份属性动态匹配访问策略，适合需要按多维属性细分授权的情形。它的灵活性来自属性，但这也意味着风险同样来自属性：如果部门、主管、合同期限或在职状态等字段不准确，基于这些信息生成的授权判断也会随之出错。换言之，ABAC 对身份数据质量和字段责任划分的依赖远高于 RBAC。
取舍的现实依据
实际建设中，可行的做法通常不是二选一，而是分层组合。对高频、规则清晰的权限优先用角色承载，让大多数常规授权落在可复核的角色体系内；对无法纳入标准角色的个性化需求，再走单独申请与审批流程，或借助属性策略处理随身份属性变化的细分场景。每个角色都应有明确的名称、业务用途、权限范围和责任人，避免角色定义模糊导致复核失效。
判断偏向哪种模型时，可以观察几个信号：权限是否主要按岗位、部门这类稳定维度分配，还是频繁依赖项目、区域等多变属性；身份数据的权威来源和字段责任人是否已经明确；审批人能否凭现有信息判断申请的合理性。属性质量不足却强行采用细粒度属性策略，往往比简单的角色模型更难治理。
模型选择最终服务于同一个目标：授权依据可解释、人员变化能触发相应处置、权限随转岗及时撤销而非长期叠加。无论采用哪种方式，若脱离身份数据治理和复核回收链路，权限模型本身都无法独立保证访问持续适当。