文件所有者同意共享，强制访问控制为什么仍会拒绝？

正确答案 C

题干要求两项检查都通过。所有者授予读取权限，只满足自主授权这一侧；甲仍不符合强制策略，不能读取，选C。身份认证和审计记录也不能补齐缺少的访问资格。

先别急着问“是谁的文件”，先看系统到底设了几道门。本题明确有所有者共享设置，也有统一强制规则：第一道门放行，不代表第二道门可以跳过。自主访问控制允许拥有者或获授权者在其权限范围内决定共享；强制访问控制则把安全策略作为不能由普通文件所有者自行放宽的限制。举个同结构的例子：项目负责人愿意把受限资料共享给同事，但同事没有相应安全许可，共享邀请不能代替该许可。这里不是说所有者授权没有价值，而是它不是充分条件。认证回答“是不是甲”，授权回答“甲能不能读这份文档”，审计记录则留下操作线索，三者不能互相顶替。也不要自行加一条“用户级别高就必然能读”的口诀：实际规则还可能检查类别等条件，按题干已给的不符合结论判断即可。

选项分析

A

只检查了所有者设置的权限，忽略系统还要求满足统一强制策略；共享同意不是全部访问条件。

B

身份认证确认访问主体，并不保证该主体对所有文档都有读取权限，题干另有明确限制。

C

两项条件必须同时满足；普通所有者授予的读取权限不能使不符合强制规则的访问变得合规。

D

日志便于追查，但记录一次不符合规则的读取，并不能使该次读取获得本来缺失的授权。

再巩固一步

• 做混合访问控制题，把每个必须满足的条件列出来；看见一项通过，不要替剩余条件打勾。