访问控制策略决定在哪些情况下、由什么主体发起、什么类型的访问是被允许的，一般可以用一个授权数据库来实现。