4. ABAC基础理论

基于属性的访问控制（ABAC）通过评估主体、资源、环境和动作的任意属性组合来做出授权决策。与 RBAC 的静态角色不同，ABAC 在运行时动态计算策略，能够表达“仅当用户是项目经理且当前 IP 属于内网且请求时间在 09:00-18:00 之间时，才允许修改合同金额”这类细粒度规则。本节将拆解 ABAC 的四大核心要素、属性定义与来源、策略评估引擎以及策略组合算法。

4.1 ABAC 核心要素

ABAC 模型围绕四个基本要素构建：主体（Subject）、资源（Resource）、环境（Environment）和动作（Action）。每个要素都携带一组属性，策略引擎通过匹配这些属性来决定是否允许访问。

4.2 属性定义与属性来源

属性是 ABAC 策略的最小数据单元。每个属性必须有一个明确的名称、数据类型和来源。属性来源通常分为三类：

• 静态来源：用户属性表、资源元数据、配置文件。例如：用户所在部门、资源的创建时间。
• 动态来源：运行时计算或外部系统查询。例如：当前风险评分、用户最近一次登录时间、资源的实时访问量。
• 上下文来源：请求本身携带的信息。例如：请求 IP、User-Agent、请求时间戳。

4.3 策略评估引擎

策略评估引擎是 ABAC 的核心运行时组件。它接收访问请求，提取主体、资源、环境和动作的属性，然后根据预定义的策略集进行匹配和评估。评估引擎的工作流程通常包含以下步骤：

1. 属性收集：从请求上下文、数据存储和外部服务中收集所有相关属性。
2. 策略检索：根据资源类型和动作类型，从策略库中检索适用的策略。
3. 条件匹配：将收集到的属性值与策略中的条件表达式进行匹配。
4. 决策计算：根据匹配结果和策略组合算法，计算最终决策（Permit / Deny / NotApplicable / Indeterminate）。
5. 决策返回：将决策结果返回给 PEP（策略执行点）。

4.4 策略组合算法

当多个策略同时适用于一个请求时，策略组合算法决定了最终的授权结果。常见的组合算法包括：

• Deny-Overrides（拒绝优先）：只要有一条策略结果为 Deny，最终结果即为 Deny。适用于安全敏感场景。
• Permit-Overrides（允许优先）：只要有一条策略结果为 Permit，最终结果即为 Permit。适用于需要最大化开放权限的场景。
• First-Applicable（首次匹配）：按策略优先级顺序评估，返回第一个匹配的决策。适用于策略有明确优先级层级的情况。
• Only-One-Applicable（唯一适用）：如果恰好只有一条策略适用，则返回该策略的决策；如果多条策略适用，则返回 Indeterminate（不确定）。适用于需要避免策略冲突的场景。

4.5 策略示例：ABAC 策略的 JSON 表示

以下是一个典型的 ABAC 策略定义，使用 JSON 格式表达。该策略表示：仅当用户属于“finance”部门、资源分类为“confidential”、请求时间在工作时间内、且动作为“read”时，才允许访问。

{
  "policyId": "policy-finance-read-confidential",
  "description": "允许财务部门在工作时间读取机密财务文档",
  "target": {
    "resourceType": "financial_document",
    "action": "read"
  },
  "condition": {
    "allOf": [
      { "subject.department": { "equals": "finance" } },
      { "resource.classification": { "equals": "confidential" } },
      { "environment.current_time": { "between": ["09:00", "18:00"] } }
    ]
  },
  "effect": "Permit",
  "priority": 100,
  "combineAlgorithm": "Deny-Overrides"
}