前面的两篇文章（《从两个重要的概念谈起：Identity与Principal[上篇]》和《从两个重要的概念谈起：Identity与Principal[下篇]》）主要探讨基于安全主体的授权。通过这些介绍我们知道：如果我们在实施授权的时候，当前线程的安全主体能够被正确设置，我们就可以正确地完成授权。基于相同的原理，对于WCF的服务授权，如果正确的安全主体能够在服务操作被执行之前被正确设置到当前线程，借助于这个安全主体，我们不但可以采用命令式编程的方式将授权逻辑写在相应的操作中，也可以采用声明式编程的方式将授权策略定义在应用在服务操作方法上的PrincipalPermissionAttribute特性中。
目录：
一、三种授权模式
二、RoleProviderPrincipal
三、ServiceAuthorizationBehavior
安全主体具有两个基本的要素：身份与权限。身份在客户端经过认证之后已经确立下来，现在需要解决的问题就是如何获取被认证用户的权限。为了解决这个问题，WCF为我们提供了不同的方案，我们把这些方案成为不同的“安全主体权限模式（Principal Permission Mode）”。具体来说，WCF支持如下三种安全主体权限模式。
- 采用Windows用户组：将经过认证的用户映射为同名的Windows帐号，将该帐号所在的用户组作为权限集；
- 采用ASP.NET Roles提供程序：通过ASP.NET角色管理机制借助于某个RoleProvider获取基于当前认证用户的角色列表，并将其作为权限集；
- 自定义权限模式：自定义权限解析和安全主体创建机制。
在WCF关于安全应用编程接口中，安全主体权限模式通过System.ServiceModel.Description.PrincipalPermissionMode枚举表示。下面的代码片断表示PrincipalPermissionMode的定义。
enum PrincipalPermissionMode
2: {
3: None,
4: UseWindowsGroups,
5: UseAspNetRoles,
6: Custom
7: }