定义：
权限控制模型是一种用于管理和限制用户或系统对资源（如文件、数据库记录、网络服务等）访问的机制或框架。在计算机科学和信息技术中，权限控制模型确保只有拥有适当权限的用户或系统进程才能执行特定操作，比如读取、写入、修改或删除资源。

模型：

• Casbin实现的各种权限控制模型, 常见包括ACL、RBAC、ABAC等。
• NGAC：强大且复杂，适合企业场景、尤其是多租户。

Organization的嵌套关系有两种：

1. 树状，即简单的父子关系。
2. 树+标签，即允许组织形成标签关系，类似于“项目组合”。

每个Organization有自己的租户Tenant隔离资源。

OrganizationUser组织用户。用户在组织内的唯一身份。
同一个用户在相关的不同组织的身份，可以采取的设计方式：

1. 同步信息。优点是架构简单，缺点是需要解决一致性问题。
2. 引用某个组织的身份。优缺点和上面相反。

OrganizationUserGroup组织用户组。比如部门Department、委员会Committee等。

OIDC协议提供的字段(https://openid.net/specs/openid-connect-core-1_0.html#Claims)太过简单，需要参考其设计重新定义一套更完整的。

原则：

1. 用户和组织用户账号统一，并允许同一个用户对个人和组织身份信息授权互相同步。
2. 如果有可能，可以考虑如何和OIDC协议互通。
3. 精确地定义一系列Value Object用以表达用户信息，比如教育经历等。

https://en.wikipedia.org/wiki/Time-based_one-time_password

只要大家都遵循，就可以用一个专门做验证的程序，比如Authy，来实现两阶段验证的特性。

created_by字段

在以下两种场景：

1. 系统新版本更新时加入字段，原本的字段不一定知道什么时候创建的。
2. 创建者离开组织注销账户。

都需要明确的定义。

教育经历：

• 学校、学院、系：来自于高校数据集。
• 专业
• 入学年份
• 毕业年份

定义一个UserOrOrg模型，比如Account、Entity等。

用途：

• payments关联钱包
• PR平台关联利益实体