传送门 http://www.thinkphp.cn/document/313.html 应该会对你有所帮助...这类问题可到 TP社区搜索答案.

从我的个人使用理解来说，我觉得可以做到你说的
第二种理解：
用户角色对应，角色权限对应，用户与角色一对多，角色和权限一对多
其实我觉得这不需要理解那么深吧，其实一般情况只要自己控制好，能实现第一种理解就足够实际使用需要了！
我同意楼上的意见，RBAC应该只是一种模型，怎么用，要结合业务逻辑，自己在设计时进行控制和实现。

RBAC只是提供了一种模型，需要根据你具体的业务来设计。所以上面你提到的三种，除了用户和权限直接对应外，其实都可以的。角色和角色之间如果还有继承关系呢？互斥关系呢？是不是更复杂了？最终一句话，RBAC可以提供给你一种思考的模型，但不是照搬，关键还是结合业务。