在網上看到許多資料介紹訪問控制中的一個基本原則“最小特權原則”是“在需要時纔給用戶分配所需的權限”，感覺這樣如果從字面理解的會產生歧義，如果不在授權時爲操作者指派特定的權限，那麼在操作者對某個資源進行操作時才根據該訪問規則對該操作者指派對該資源的操作權限話。這就暗示着該操作者擁有對系統中所有資源的訪問權限。舉個例子，某個公司新招聘了個員工N，hr把他帶到各個部門轉了一圈，並沒有爲他安排工作崗位，只是說：“大家以後就是同事了。”。誰都不知道他是幹嘛的。在一個項目中開發工程中，A完成了一個零部件的設計，完成後提交審覈。就N閒着，他拿到圖紙進行審覈，完了簽上大名。提交給工藝，轉到工藝部，看到工藝部都在忙，順便又簽上大名……，一路下來，都是他的大名。閒得無聊，在公司轉了一大圈，他是看到什麼做什麼，誰都不知道是做什麼的，也不知道他的職位高低。他充當了革命的螺絲釘，哪裏需要哪裏鑽。要是哪天老闆不在，他說不定把老闆要做事都做了。
自己對“最小特權原則”理解是，一定要在操作者在操作以前爲他指派權限。這樣就定義了操作者的權限邊界，當操作者要對某個資源進行操作時，系統會在他的權限邊界內匹配是否有對該資源的操作權限，有就可以讓他進行操作，沒有就拒絕。這就象現實中，必須爲員工安排工作崗位，限定他的工作職責範圍。