第4章 资源访问权限不一致：现象对比、用户组与资源组映射检查、权限策略生效顺序、策略冲突修复、复测脚本

4.1 现象识别

资源访问权限不一致是B2B权限验收中最常上报的异常类型。典型表现为：

• 同组用户权限差异：同一用户组的成员A能访问资源X，成员B却返回403。
• 跨环境不一致：开发环境允许的操作，在生产环境被拒绝。
• 条件性异常：特定时间段或IP段下权限正常，其他条件下失败。
• 预期外的Deny：未配置显式拒绝策略，但资源访问仍被拦截。

4.2 数据采集

按照以下步骤采集关键数据，构建排查基座：

1. 获取用户组 → 资源组映射关系：列出该用户所属的所有组，以及目标资源所属的资源组。
2. 导出关联权限策略：包含用户组策略、资源组策略、角色策略、组织级基线策略。
3. 记录策略生效顺序：系统通常按“显式Deny > 显式Allow > 继承Deny > 继承Allow”裁决，但需确认平台实际规则。
4. 标记冲突条目标：对同一资源操作同时存在Allow和Deny的条目，Deny优先级更高。

4.3 原因定位：权限策略生效顺序与冲突识别

策略冲突通常由以下顺序规则导致：

• 显式Deny始终优先：即使存在更具体的显式Allow，Deny也会拦截。
• 显式Allow > 继承Deny：但若继承来源为“显式Deny”则不能覆盖。
• 默认隐式Deny：未显式Allow的操作默认被拒绝。
• 不支持的策略叠加：某些平台不支持“禁止与允许同时作用于同一资源”，需检查底层的策略合并逻辑。

{
  "effectivePolicy": [
    { "effect": "Deny", "action": "storage:read", "resource": "bucket:123" },
    { "effect": "Allow", "action": "storage:read", "resource": "bucket:123" }
  ],
  "rule": "Deny优先级压倒Allow"
}

4.4 故障树辅助图

下图为权限不一致排查的故障树结构，帮助快速定位故障原因所在分支。

4.5 修复动作

根据定位到的原因执行对应修复，常见操作如下：

• 映射修复：确保用户加入正确的组，资源组包含目标资源，且组间无矛盾继承。
• 策略冲突修复：移除冗余Deny，或调整策略顺序使预期的Allow生效。若平台不允许Deny与Allow共存，则删除冲突的Deny。
• 生效顺序修正：若平台支持策略优先级数值，提高所需Allow策略的优先级数字（数值越低优先级越高）。

4.6 复测：复测脚本

编写自动化复测脚本，覆盖修复前后的权限行为。以下为基于Python + requests的示例脚本，假设API端点返回200/403。

import requests

class PermissionReTest:
    def __init__(self, base_url, token):
        self.base_url = base_url.rstrip('/')
        self.headers = {
            "Authorization": f"Bearer {token}",
            "Content-Type": "application/json"
        }

    def test_access(self, resource_path, expected_status):
        url = f"{self.base_url}/api/resources/{resource_path}"
        resp = requests.get(url, headers=self.headers, timeout=10)
        actual = resp.status_code
        assert actual == expected_status, \
            f"资源 {resource_path} 期望状态 {expected_status}，实际 {actual}"
        print(f"✅ {resource_path} -> {expected_status} 正常")

    def run_regression(self, test_cases):
        for case in test_cases:
            path = case["path"]
            expected = case["expected_status"]
            self.test_access(path, expected)

# 使用示例
tester = PermissionReTest("https://prod-api.example.com", "your_token_here")
cases = [
    {"path": "/buckets/123/read", "expected_status": 200},
    {"path": "/buckets/123/delete", "expected_status": 403},
]
tester.run_regression(cases)

4.7 常见误区

• 忽略隐式Deny：认为只要没有显式拒绝就能访问，实际上未显式Allow的操作为拒绝。
• 迷信策略顺序：某些平台不按配置顺序评估，而是按效果类型（Deny优先）加随机顺序，导致误判。
• 只检查直接映射：权限往往来自祖传组织继承，忽略上级策略导致定位偏差。
• 不清理废弃策略：残留的历史Deny策略持续生效，排查时未纳入视野。

4.8 预防清单