RBAC 的核心思想是通过角色来管理权限，而不是直接将用户与权限关联。每个用户被分配一个或多个角色，角色再与权限或资源关联。