Объяснение
RBAC связывает права с ролями, ABAC учитывает атрибуты субъекта, ресурса и контекста. Политика по умолчанию должна явно определять отказ. Решения нужны на сервере для каждой защищённой операции.
Задача для самостоятельного решения
Как разрешить редактору только свои черновики?
Показать разбор ответа
Проверить роль, владельца и статус ресурса совместно. Одна роль editor без атрибутов слишком широка.