用途：实现安全访问控制系统，使用 RBAC、ABAC 或混合方案做细粒度授权，适用于管理后台、企业访问、多租户应用与精细授权场景。
主要能力：介绍多种访问控制模型。RBAC 基于角色，用户分配角色并继承权限，适合多数应用；ABAC 基于属性，策略评估用户与资源属性，适合复杂规则；MAC 为系统强制分类级别，面向政府或军事；DAC 由资源所有者控制访问，如文件系统；ReBAC 基于实体关系，适合社交应用。
使用方式：Node.js 提供 Permission、Role、RBACSystem 类，支持通配符匹配、角色父级继承、can 判断，并提供 Express 中间件 requirePermission 对无权请求返回 403，还可创建 viewer、editor、admin 等默认角色。Python 提供 Policy 与 ABACEngine，含 matches、evaluate、check_access，默认拒绝，条件函数如 is_resource_owner、is_within_business_hours，完整 Flask 集成见 references/python-abac.md。Java 企业实现见 references/java-spring-security.md，包含 Spring Security 配置、@PreAuthorize 方法级安全、自定义权限服务与安全表达式。
最佳实践：遵循最小权限原则，使用角色层级减少重复，审计所有访问变更，每季度审查权限，缓存权限检查以提升性能，分离认证与授权。避免硬编码权限检查、未经审查的权限蔓延、跳过审计日志以及过宽的通配符。
限制：资料未提供具体安装命令、价格、平台支持范围与性能数据，相关细节暂未提供。