业务程序的权限控制是一个复杂的问题，从应用层面来说至少要解决三个方面的问题。
1. 我是谁，确定用户的标识，解决用户的ID的标记、访问和存储问题。
2。我可以做什么，即用户的功能权限问题。
3.我可以对什么做什么，也就是数据权限问题。例如项目经理可以查看那些项目，可不可以删除，项目经理的上级可不可以对当前项目操作，部门助理可不可以看本部门的项目等等问题。
第一个和第二个问题相对比较好解决，第三个问题比较麻烦。
数据权限的问题实质是数据可以按照数据的ID、属性、业务过程进行授权。我们这里举一个例子。
文档授权：
1.文档创建人可以设置是否可以删除、查看等等权限
2.文档创建人所属部门领导可否删除、查看等等权限
3.如果文档和项目相关，项目经理和成员可否删除、查看等等权限
4.文档发布在A类型下，A类型文档的管理员可否删除、查看等等权限
我们发现文档的权限实际和企业的业务过程和文档本身的属性相关，现在有两个解决方案。
方案A：
1.定义权限业务规则（即定义文档创建人可以设置是否可以删除）。
2.访问数据的时候实时换算出当前数据的访问控制作用于数据。
方案B:
1.定义权限业务规则（即定义文档创建人可以设置是否可以删除）。
2.当数据产生的时候，根据数据属性和权限业务规则对数据进行授权，授权直接作用在数据资源本身，授权后和业务再无关系。
3.访问数据的时候直接对控制点验证。
法官判案：
1.定义刑法 （相当于确定权限的业务规则）。
2.当犯罪案件发生时候，法官根据法律条文和犯罪事实（抢劫、伤人、贩毒等等）不同量刑。（相当于根据规则发放资源权限密钥）。
3.罪犯服刑，此时只关心服刑多少年，不再关注犯罪事实。
方案A，和权限相关的数据列表统计非常困难 ，负责的业务控制需要换算，程序不稳定。
方案B，讲权限规则分离出去，数据的权限控制依赖一致的数据控制密钥。
