使用 Authzforce 在 XACML 中表示复杂数据类型

Question

我是 XACML 的新手，如果您能帮助我解决我遇到的一个问题，我将不胜感激。 我使用 AuthzForce Core PDP（版本 17.1.2）。 我想知道在 XACML 中表示复杂数据类型的正确方法是什么。

例子

如果 PIP 响应包含任何姓名出现在请求中的名称数组中且该人的薪水高于请求中提供的薪水的人，则应授予访问权限。

要求

names = ["Eric", "Kyle"]
salary = 1500

PIP 响应

[
  {
    "name": "Kyle",
    "salary": 1000
  },
  {
    "name": "Kenny",
    "salary": 2000
  },
  {
    "name": "Eric",
    "salary": 4000
  },
  {
    "name": "Stan",
    "salary": 3000
  }
]

将授予访问权限，因为 PIP 响应包含名为 Eric 的人员，并且他的薪水高于 1500。

我的实现为了表示 PIP 响应，我最终通过从 AuthzForce 扩展 StringParseableValue class 创建了自定义类型。 对于上述逻辑，我在 xml 中使用属性指示符，并在执行 PIP 调用的 Java 中具有相应的属性提供程序（扩展 BaseNamedAttributeProvider 的类）。

我还写了两个自定义函数：

1. 查找薪水高于一个参数中提供的人（返回过滤列表）
2. 获取人名（返回字符串）并使用这些函数和标准 function 我编写了策略并且它有效。

但是，我的解决方案似乎过于复杂。 我想我所做的可以通过仅使用标准函数来实现。 此外，如果我想在其他策略单个元素中定义硬编码的人员包，则如下所示：

<AttributeValue DataType="person">name=Eric@@@salary=4000</AttributeValue>

总是有可能解析此类字符串可能会失败。

所以我的问题是：使用 Authzforce 在 XACML 中表示像我的 PIP 响应这样的复杂类型的良好做法是什么？ 有时我可能需要在请求中传递更复杂的数据，我在 XACML 规范中看到了显示在<Content>元素中传递此类数据的示例。

Answer 1

创建一个新的 XACML 数据类型 - 并因此创建新的 XACML 函数来处理该新数据类型 - 确实似乎有点矫枉过正。 相反，您可以稍微改进您的 PIP（属性提供程序），以便它只返回请求中指定的员工的结果，并且只返回他们的薪水（使用 Z0ECD11C1D7A287401D148A2 从 JSON 中提取它们）返回一个整数包 7222FZD148A2 .

然后，假设此 PIP 结果设置为策略中的属性employee_salaries （整数包），并且min_salary是请求中的薪水，只需应用any-of(integer-less-than, min_salary, employee_salaries)在一个条件。 （为方便起见，我为函数使用了短名称，请参阅 XACML 3.0 标准以获取完整标识符。）

改进 PIP 的提示：

1. 这里的一个问题是性能（可扩展性、响应时间/大小......），因为如果您有成百上千的员工，那么一遍又一遍地从 REST 服务获取整个列表是多余的，因为您只需要一个小子集（请求中的名称）。 相反，您可以通过某种方式使用查询参数请求 REST 服务仅返回特定员工； 使用RSQL的示例（但这取决于 REST 服务 API）：

HTTP GET http://rest-service.example.com/employees?search=names=in=($employee_names)

...您将$employee_names变量设置为（以逗号分隔的）请求中的员工姓名（例如Eric,Kyle ）。 您可以在 AttributeProvider 实现中从被覆盖的get(...)方法 ( EvaluationContext#getNamedAttributeValue(...) ) 的EvaluationContext参数中获取这些信息。

然后，您可以使用 JSON 路径库（如您所做的那样）从 JSON 响应中提取薪水（因此您只有请求中指定的员工的薪水），使用此 Z0ECD11C1D7A287401D148A23BB 路径的Z0ECD11C1D7A287401D148A23BB ：

$[*].salary

2. If the previous option is not possible, ie you have no way of filtering employees on the REST API, you can always do this filtering in your AttributeProvider implementation with the JSON path library, using this JSON path for instance (tested with Jayway against your PIP回复）：

$[?(@.name in [$employee_names])].salary

...您像以前一样设置$employee_names变量，从EvaluationContext获取名称。 因此，变量替换后的实际 JSONpath 将类似于：

$[?(@.name in [Eric,Kyle])].salary

（您可以为每个名称添加引号以确保安全。）

考虑到所有因素，如果您仍然更喜欢 go 来获得新的 XACML 数据类型（和函数），并且由于您似乎已经完成了大部分工作（令人印象深刻的顺便说一句），我有一个建议 - 如果可以在没有太多额外工作的情况下 -将 Person 数据类型推广到更通用的 JSON object 数据类型，可以在处理 JSON 的任何用例中重用。 然后查看是否可以通过将通用 JSONPath 评估 function 应用于新的 JSON object 数据类型来完成额外的功能。 这将提供一个 JSON 等效于我们在 XACML 中已有的标准 XML/XPath 数据类型和函数，这种贡献将使 AuthzForce 社区受益匪浅。

对于 JSON object 数据类型，实际上您可以使用 testutils 模块中的一个示例： CustomJsonObjectBasedAttributeValue ，它已用于测试 Z0ECD11C1D7A287401D148A23ZACMLA 扩展的对象支持。