位掩码鉴权通过2的幂值映射权限，用整数二进制位存储集合，单次&运算即可O(1)判断权限；需合理选字段类型、固定bit位定义，并配合RBAC/ABAC处理复杂策略。
在权限管理系统中，用位掩码（Bitmask）配合位运算实现鉴权，核心是把每个权限映射为一个唯一的 2 的幂次值（如 1, 2, 4, 8, 16…），再通过整数的二进制位来紧凑存储和高速判断用户拥有的权限集合。这种方式避免了频繁查表、JOIN 或遍历数组，单次鉴权只需一次按位与（&）操作，时间复杂度 O(1)，性能极佳。
设计权限常量：每个权限对应唯一 bit 位
为每个权限分配一个不重叠的 2 的幂作为标识值，确保任意组合都能无歧义表示：
-
READ = 1（二进制
0001） -
WRITE = 2（二进制
0010） -
DELETE = 4（二进制
0100） -
ADMIN = 8（二进制
1000）
这样，用户权限可存为一个整数：比如同时有 READ + WRITE + DELETE → 1 | 2 | 4 = 7（0111）；ADMIN + READ → 8 | 1 = 9（1001）。
存储与查询：数据库字段用整型，代码中直接位运算
用户或角色表中，用一个 TINYINT / SMALLINT / INT 字段（如 permission_mask）存储权限整数。鉴权时无需查权限关联表：
- 判断是否拥有某权限：
user_mask & READ != 0 - 判断是否拥有全部权限（如 READ+WRITE）：
(user_mask & (READ | WRITE)) == (READ | WRITE) - 判断是否至少拥有其一：
user_mask & (READ | DELETE) != 0 - 授予权限：
user_mask |= WRITE - 撤销权限：
user_mask &= ~DELETE
扩展性处理：支持动态权限与分组权限
位掩码天然适合固定权限集，但可通过分层设计兼顾灵活性：
- 用高 8 位表示「模块」（如 0x0100=用户模块，0x0200=订单模块），低 8 位表示该模块内操作（如 0x0001=查看，0x0002=编辑），组合后仍为单整数，例如
0x0103表示「用户模块 + 查看 + 新建」 - 预定义常用权限组合常量：
USER_EDITOR = USER_READ | USER_WRITE，业务代码中直接复用 - 权限变更时只更新整数字段，不触发关联表级联，适配高并发写场景
注意事项与边界提醒
位掩码不是万能方案，需规避常见误用：
- MySQL 中
TINYINT最大支持 255（8 位），超权限数建议用INT UNSIGNED（32 位，最多 32 个独立权限）或BIGINT（64 位） - 权限含义必须全局唯一且不可变；一旦上线，不能调整已有权限的 bit 位，否则历史数据失效
- 不适用于需要记录权限来源（如 A 角色授、B 组继承）、时效性（如临时授权）、条件策略（如“仅工作日可删”）等复杂场景——这些应交由 RBAC 或 ABAC 补充
- 对外 API 不宜直接暴露原始 mask 值，应转为权限字符串列表（如
["read", "write"]）提升可读性
