Phân quyền theo phạm vi: vì sao “ẩn menu” là chưa đủ

Vai trò không đủ, cần thêm phạm vi

RBAC truyền thống trả lời "ai được làm gì". Trường học cần thêm "trên dữ liệu nào": tổ trưởng chỉ sửa nhân sự tổ mình, người phụ trách cơ sở chỉ quản lý tài sản cơ sở mình.

Kiểm tra ở máy chủ cho mọi request

Ẩn menu chỉ là trải nghiệm. Nếu backend không kiểm tra lại, ai đoán đúng đường dẫn vẫn đọc được dữ liệu. Nguyên tắc: mọi route đều gọi kiểm tra quyền trước khi chạm dữ liệu.

Một tài khoản – nhiều vai trò – nhiều phạm vi

Cùng một người có thể có nhiều bản ghi gán vai trò với phạm vi khác nhau. Đây là thiết kế có chủ đích, không phải trùng lặp.