访问控制机制是指对主体访问客体的权限或能力的限制，以及限制进入物理区域（出入控制）和限制使用计算机系统和计算机存储数据的过程（存取控制）。主体通常指用户，或由用户发起运行的进程或用户正在使用的设备。主体主动发起对资源的访问，它是系统中信息流的启动者。客体通常是指信息的载体或从其他主体或客体接收信息的实体。
一、自主访问控制模型（DAC）
资源的所有者，往往也是创建者，可以规定谁有权访问他们的资源。用户或用户进程可以有选择地与其它用户共享资源，它是一种对单个用户执行访问控制的过程和措施，DAC通常使用访问控制表或能力表来实现访问控制功能。
安全性较低，不能抵御特洛伊木马的攻击。
DAC可以用访问控制矩阵来表示。
访问控制列表ACL：
访问能力表CL：
二、强制访问控制模型（MAC）
强制访问控制( Mandatory Access Control，MAC)是指用户与文件都有一个固定的安全属性，系统用该安全属性来决定一个用户是否可以访问某个文件。安全属性是强制性的规定，它由安全管理员或操作系统根据限定的规则确定，用户或用户的程序不能加以修改。系统通过比较客体和主体的安全属性来决定主体是否可访问客体。如果系统认为具有某一个安全属性的用户不适于访问某个文件，那么任何人（包括文件的拥有者）都无法使该用户具有访问该文件的权力，有别于自主访问控制机制（DAC）。
保护敏感信息一般用MAC，需要用户提供灵活的保护，更多的考虑共享信息时，使用DAC。
1.BLP模型（机密性）
向下读：当主体的安全级可以支配客体的安全级，且主体对客体有自主型读权限，主体可以读客 体。
向上写：当客体的安全级可以支配主体的安全级，且主体对客体有自主型写权限，则主体可以写入客体。
2.Bida模型（完整性）
向上读：主体可以读客体，当且仅当客体的完整级别支配主体的完整级别。
向下写：主体可以写客体，当且仅当主体的完整级别支配客体的完整级别。
三、基于角色的访问控制模型（RBAC）
系统内置多个角色，将权限与角色进行关联；用户必须成为某个角色才能获得权限。
