Wie entwirfst du Autorisierung für ein System, in dem Rechte nach Team, Ressource und Plan variieren?

Trenn Authentifizierung von Autorisierung und wähl dann ein Modell: Role Based Access Control ist einfach und funktioniert, wenn sich Rechte in eine Handvoll Rollen bündeln, während attributbasierte Regeln zu Bedingungen auf der Ressource passen, etwa Owner, Team oder Plan. Setz das an einer Stelle durch, idealerweise in einer Policy-Schicht, die die Handler aufrufen, halt die Prüfungen nah an den Daten, damit keine Query Zeilen leaken kann, und logg jede Entscheidung für das Audit.

Authentifizierung beantwortet, wer du bist, und passiert einmal am Rand; Autorisierung beantwortet, was du darfst, und passiert bei jedem Request gegen eine konkrete Ressource. Beim Modell starte ich mit Rollen, weil sie leicht nachvollziehbar und dem Support leicht zu erklären sind, und ergänze Attributbedingungen dort, wo Rollen allein es nicht ausdrücken können, etwa dieser Nutzer ist auf dem Plan mit Exporten, oder dieser Datensatz gehört seinem Team. Wichtiger als das Modell ist, dass es genau eine Stelle gibt, die entscheidet. Ich will eine Policy-Funktion pro Ressourcentyp, die Handler aufrufen, mit Verweigern als Default, damit ein neuer Endpoint, der die Prüfung vergisst, eine sichtbare Auslassung ist statt ein stilles Loch. Bei allem Mandantenfähigen schiebe ich den Tenant-Filter zusätzlich in die Datenschicht, damit eine Query physisch keine Zeilen eines anderen Mandanten liefern kann, denn sich darauf zu verlassen, dass jeder Entwickler an eine where-Klausel denkt, geht irgendwann schief. Und jede Entscheidung wird mit Subjekt, Ressource und Ergebnis geloggt, weil die erste Frage in jedem Incident lautet, wer was sehen konnte.