访问控制概述
作为管理员，必须确保只有相应的参与者才可以访问各对象。有关访问权限的决定是通过访问控制规则来表达的。有两种类型的访问控制规则：
• 策略规则，此类规则在域中针对特定生命周期状态下的特定对象类型的对象进行设置，并可准予、拒绝或绝对拒绝对那些对象的访问控制权限。这些规则决定了参与者可与域中有特定类型和生命周期状态的对象进行的交互操作类型。策略规则构成了域的访问控制策略。
• 专用规则，此类规则是在对象中设置的，可赋予对特定对象的访问控制权限。这些规则决定了参与者可与该对象进行的交互操作类型。
例如，您可以创建一个策略规则，当 WTDocument 类型的对象处于其生命周期的“正在审阅”状态下时，通过此规则赋予 Publication 组修改这些对象的权限。可创建另一个策略规则来绝对拒绝 Publication 组删除处于生命周期的“已发布”状态的 WTDocument 对象的权限。另外，可将专用规则添加到 WTDocument 的特定实例 (如“出版计划”) 中，这将允许不属于 Publications 组中的选定组用户有权修改此特定文档。
访问控制列表 (ACL) 由访问控制规则派生而来。有两种类型的 ACL：
• 策略 ACL，应用于对象类型。
• 专用 ACL，应用于特定对象。
ACL 是一种基本的机制，用于在用户试图与对象进行交互时强制执行访问控制决策。根据需要创建 ACL 并将其缓存，以获得最佳系统性能。
当用户查看某个对象的属性时，如果某些属性参考了访问受控的对象 (如参与者)，则该用户是否有权“读取”被参考的对象，将决定其是否有权查看这些属性的值。通常，如果用户无权“读取”被参考的对象，则字段将显示 (安全性信息) 而非属性值。例如，假定用户要显示某个产品的信息。在显示页上，其中一个产品属性字段为“创建者”，值为创建该产品的用户名称。如果要显示产品信息的用户无权“读取”创建该产品的用户，则不会显示该用户的名称。用户只能看到 (安全性信息) 字样。