您是否查看过基于声明的身份验证？这个想法是附加到每个经过身份验证的用户是一个声明的集合，每个声明都代表关于用户的一些东西。当用户通过身份验证时，相关特定应用程序的声明集合被下拉，并且可以包含任意集合，如“CanSubmitGoogleOrders”或“PurchaseLimit = $4000”。

应用程序本身只需要知道它可以接收哪些潜在的声明，并在它看到（或没有看到）任何特定声明时采取相应的行动。

我认为这在很大程度上取决于最终用途。就在我的脑海中，并且对您的应用程序最终用户一无所知，您是否考虑过基于会话的身份验证？基本上检查他们的权限并将某种类型的标识符应用于他们的会话。这样，您可以授予请求允许的权限，这应该比检查每个请求的所有用户权限更快。只需有一个操作查找表以及允许哪些会话使用它，这样您就可以集中存储所有内容，这更容易管理。顺便说一句，这纯粹是对易于实施/可管理性/速度的回应，您希望您的应用程序越安全，显然您就越会牺牲速度。 真正推动您的实施的是找出可接受的速度和安全性之间的合理平衡点。

当我今天晚些时候有更多时间时，我会发布一个更冗长的回复。

这实际上是一个众所周知的问题，不幸的是，目前还没有很多打包的解决方案——至少，不是很好的解决方案。

基于角色的访问控制只是可扩展管理和安全性之间的折衷。通常，这是一个不错的选择，仅仅是因为替代方案是——嗯，直到现在还没有很多替代方案……它总是涉及大量复杂的自定义编码。除了银行或军事级别的安全要求外，这是可行的方法……但是，为了使安全易于管理，它始终是一种妥协。

虽然@SteveS 对基于声明的身份验证的建议是一个很好的建议（对于 .NET，您可以查看被称为日内瓦框架或Windows 身份基础 (WIF)的内容），并且绝对是朝着更细化方向的改进安全性，它并没有真正帮助解决“可扩展管理”问题。

您还可以了解（不幸的是）所谓的“权利管理”、基于策略/属性的访问控制 (ABAC/PBAC)、上下文敏感访问控制等方向
。为此，您可以看看XACML - 虽然它肯定有不小的缺点（即使即将发布的 v3 也没有做到这一点……），它绝对是朝着正确概念方向迈出的重要一步。（这只是一种格式/协议，不熟悉执行此操作的标准工具......）

不幸的是，底线仍然没有真正好的解决方案来实现可扩展的访问控制管理粒度。今天，它仍然需要大量的定制——无论是在您的应用程序中进行自定义编码，还是对一些相关的管理产品进行大量修改。也许一些小型初创公司很快就会提出解决方案……
_{披露：我正在与其中一家初创公司合作，以使您可以使用可扩展的访问粒度……}