这是什么
一个在浏览器里运行的免费权限审查工具。它读取简单的角色清单或 CSV 导出，把它们变成一张矩阵、一个路线查找器和一份按严重程度排序的风险清单。
权限审查地图
谁能动什么？在审计员开口之前，先把地图画出来。
粘贴你的角色和每个角色能做的事，再粘贴谁担任哪个角色。Permission Map 按照拒绝优先于允许的规则解析每一条授权，画出访问矩阵，追踪从任何人到任何资源的路线，并标出最容易酿成事故的权限组合。
适合谁
正在填写安全问卷的创始人、整理角色的管理员、审计前的技术负责人，以及任何被问到谁能删除客户数据的人。
解决什么问题
关于访问权限的真实情况分散在身份服务、表格和旧工单里。没人发现同一个人既能创建又能批准付款，直到出事为止。
绘制你的角色地图
所有内容都在当前标签页里解析和计算。你粘贴的内容不会上传或保存。
每行一个角色，例如 support: tickets:*, customers:read。开头的 ! 表示拒绝。也支持带 role、resource、action、effect 列的 CSV。
可选。每行一个人，例如 deniz: finance_clerk, finance_lead。不填时，每个角色单独检查。
还没有地图
粘贴你的角色，或载入示例公司，看看每一类风险。
你的清单永远不会离开本页面。报告只包含角色名、资源和检查结果。
各类风险的含义
添加人员清单后，组合检查针对每个人；不添加时，针对每个单独的角色。
职责分离 高
同一个人能在同一资源上既创建又批准，或既申请又发布。大多数舞弊和许多故障都从这里开始。
完全管理员 高
拥有 *:* 的角色什么都能做，包括尚不存在的操作。尽量只给最少的人。
权限提升 高
能分配角色或修改权限的人可以给自己任何其他权限，所以他实际上拥有一切。
篡改审计日志 高
删除或修改日志能让人掩盖自己的行为。审计日志应当只能追加。
敏感数据上的通配符 中
对密钥、付款或个人数据使用 resource:*，会悄悄包含以后新增的所有操作。
导出个人数据 中
批量导出或下载客户数据，是最常见的需要上报的数据泄露途径。
允许与拒绝冲突 中
同一个角色对同一操作既允许又拒绝。拒绝优先，允许形同虚设，还会让审查者困惑。
无效的拒绝 低
一条拒绝什么也没拦住，因为从来没有允许到达过它。无害，但掩盖了真正的意图。
重复授权 低
同一条授权出现了两次。清单越干净越容易审查。
未知角色 低
某人被分配了一个没有任何授权的角色。通常是拼写错误，有时是只在某个系统里删除了的角色。
闲置角色 低
有授权却没人担任的角色。旧角色以后容易被误分配。
支持的格式
可以混用。名称不区分大小写，空格会变成下划线。
角色行
support: tickets:*, customers:read, !customers:delete角色名、冒号，然后是用逗号分隔的授权。resource.action 写法同样有效。
CSV 导出
role,resource,action,effect
ops,servers,restart,allow逗号、分号或制表符均可。effect 列可省略，默认是允许。
人员
deniz: finance_clerk, finance_lead人名、冒号、角色。也可以用人员和角色两列，每次分配占一行。
使用方法
粘贴角色
从管理后台导出，或手动编写。用 * 表示所有资源或所有操作。
添加人员
可选，但非常有用。同时担任两个角色带来的风险，只有在有人员清单时才能发现。
阅读检查结果
高风险排在最前。每一条都会写明是谁、通过哪些角色、由哪几行导致。
查看矩阵和路线
在角色和人员视图之间切换，然后查询谁能执行某个具体操作，并沿每条路线追踪。
保存证据
下载矩阵 CSV，并把带 SHA 256 的报告复制到权限审查工单里。
注意事项
- 它处理允许、拒绝和通配符。不会评估时间段、IP 范围或资源归属等条件。
- 不会自动展开角色继承。请在子角色上列出继承来的授权。
- 它显示的是清单上写的内容，而不是系统实际执行的规则。请与真实导出进行对照。
- 风险规则依据 approve、export、audit 等常见名称。名称特殊时可能需要先重命名。
常见问题
可以粘贴身份服务导出的数据吗？
可以，只要能整理成角色、资源、操作这样的行。大多数管理后台导出的 CSV 去掉多余的列后就能直接用。
为什么拒绝优先？
几乎所有访问控制系统都是这样。只要有一条拒绝，无论多少角色允许，这个操作都会被拦下。
它会改动我的系统吗？
不会。它只读取你粘贴的内容。权限的实际执行仍由你真正的访问控制系统负责。
遇到高风险该怎么办？
拆分角色，从这个人身上移除两个角色之一，或者加上明确的拒绝，并记录是谁批准了这个例外。