如何使用 XACML（使用 WSO2 PDP）和 PIP（如果需要）覆盖以下场景。
在二手车应用中，特别是位置，销售人员是 允许查看更新汽车价格。他们只能查看以下车辆 分配给他们。
现在，通过xacml，我们可以为销售人员角色创建策略并根据位置隐藏特定菜单。
但是getCarDetails(Object User){...}这个方法怎么办呢？
这里基于UserID（销售人员）我们将显示列表。
如何用xacml规范设计这个？
对此我的理解是：我们可以使用spring-security 并在此方法之上添加“销售人员”角色。但它只会限制来自不同角色的其他用户。从那里我很困惑，我们应该根据我们的传统应用程序使用用户 ID 使用数据库调用并获取汽车列表，还是有办法通过 xacml 获得细粒度访问？
【问题讨论】：
标签： xacml xacml spring-security wso2is xacml xacml3 alfa
您的问题包含 2 个问题：
首先，让我们在 ALFA 中为您的策略建模：
规则：当且仅当分配给汽车的销售人员标识符与请求用户的身份相同时，销售人员才能查看汽车。
在 ALFA 中，这变成：
namespace com.axiomatics{
/**
* A sales person can view a car if and only if the car's assigned salesperson
* identifier is equal to the requesting user's identity.
*/
policy viewCars{
target clause user.role=="sales person" and actionId == "view" and objectType=="car"
apply firstApplicable
/**
*
*/
rule allowAssignedUser{
permit
condition car.assignedSalesPerson==user.identifier
}
}
}
这是你的建模排序。
现在，关于第二个问题：我如何执行授权？我反对混合由 Spring Security 和 XACML 策略管理的角色，除非你正确记录它们。
您可以采取两种方法。
多决策配置文件 (MDP) 定义了如何使用单个请求将多个以 xacml 编写的授权请求发送到策略决策点 (PDP)。这为您节省了几次往返行程。您将收到的响应将包含与发送的原始请求中的授权请求一样多的决定。您还可以节省运输时间和评估时间。当您知道要保护的项目数量以及该数量在 1 到 1,000 之间但不大于时（当然，它总是值得一试），请使用 MDP。您可以在 Axiomatics blog 上阅读有关 MDP 的更多信息。在您的情况下，流程如下：
getCarDetails(Object user)。主要缺点是您最终可能会从数据库中收到数千条甚至数百万条记录。那么使用 MDP 是不切实际的。
反向查询方法很有趣，尽管它特定于 Axiomatics。它在 XACML PDP 之上定义了一个新接口，允许您以相反的方式查询授权引擎。而不是问：
反向查询让你问
响应不是 Permit 或 Deny，而是过滤器表达式，例如 SQL 语句，例如
然后，您所要做的就是对您的数据库使用 SQL 语句来查询它并仅返回授权的数据。无论您的数据库中有多少数据，这都有效。您可以通过webinar 找到有关 ARQ SQL 的更多信息。
【讨论】：