如何将XACML应用于表示层访问控制

Question

我想知道您是否可以指出有关XACML如何应用于前端（演示）授权的URL和文档。 换句话说，决定启用什么，隐藏什么，显示什么。 当涉及到演示小部件时，例如：按钮，菜单，网格列，网格行，文本框，标签等时，要问这个问题。从我一直在阅读的内容中，XACML非常适用于将要授权或不授权的服务请求，并且义务必须在之前和/或之后。 对于XCAML和表示层访问控制的响应，我将非常感激。

Answer 1

您还可以将XACML应用于表示层。 它变得特定于您使用的任何层。 例如，在C＃中，您可以对PDP进行调用以确定是否应启用组件，例如：

log.Debug("Checking with the PDP to see whether button should be enabled");
bool pdpDecision = PDPUtil.authorized(User.Identity.Name, po.Identifier, "approve");
log.Debug("The PDP said: " + pdpDecision);
log.Debug("The PO currently is approved: " + po.Approved);
approvePOBUtton.Enabled = !po.Approved && pdpDecision;

我还有JSP / JSF的其他示例。

在将请求发送到PDP之前，请考虑使用“多重决策概要”来收集一系列授权请求。 还可以考虑逆转授权过程。 而不是询问典型的XACML是/否问题，而是要求提供项目列表。 您可以使用The Axiomatics Reverse Query来做到这一点（免责声明-我确实为Axiomatics工作）