3、ABAC模型基础：属性、环境、资源的动态评估，Go中ABAC的简单实现思路。

基于属性的访问控制（ABAC）是权限验证领域中最灵活、最强大的模型之一。与RBAC（基于角色的访问控制）的静态角色分配不同，ABAC通过评估主体（Subject）、资源（Resource）、环境（Environment）和操作（Action）的任意属性组合，在运行时动态计算访问决策。本章将深入剖析ABAC的核心要素，并展示如何在Go语言中构建一个轻量级的ABAC引擎。

3.1 ABAC核心四要素

ABAC模型围绕四个基本属性类别构建决策逻辑。任何访问请求都可以被抽象为这四类属性的交集评估。

一个典型的ABAC策略规则可以表述为：当且仅当 [主体属性] 满足 [条件A] 且 [资源属性] 满足 [条件B] 且 [环境属性] 满足 [条件C] 时，允许 [操作]。

3.2 策略模型与评估引擎设计

在Go中实现ABAC，核心是设计一个策略模型和一个评估引擎。策略模型定义了规则的结构，评估引擎负责将传入的请求属性与策略进行匹配。

3.2.1 策略模型定义

一个策略通常包含目标（Target）和条件（Condition）。目标用于快速筛选可能适用的规则，条件则进行精细的布尔逻辑判断。

// Policy 定义一条ABAC策略规则
type Policy struct {
    ID          string                 `json:"id"`
    Description string                 `json:"description"`
    // Target: 快速匹配，决定是否评估此策略
    Target      Target                 `json:"target"`
    // Condition: 使用表达式引擎评估的详细条件
    Condition   map[string]interface{} `json:"condition"`
    Effect      string                 `json:"effect"` // "Permit" 或 "Deny"
}

// Target 定义策略的适用范围
type Target struct {
    Subjects    []string `json:"subjects"`    // 匹配的主体属性，如 ["role:admin", "dept:engineering"]
    Resources   []string `json:"resources"`   // 匹配的资源属性，如 ["type:document", "classification:confidential"]
    Actions     []string `json:"actions"`     // 匹配的操作，如 ["read", "write"]
    Environments []string `json:"environments"` // 匹配的环境，如 ["time:business_hours"]
}

// Request 封装一次访问请求的所有属性
type Request struct {
    Subject     map[string]interface{} `json:"subject"`
    Resource    map[string]interface{} `json:"resource"`
    Action      map[string]interface{} `json:"action"`
    Environment map[string]interface{} `json:"environment"`
}

3.2.2 评估引擎核心逻辑

评估引擎的核心是一个循环遍历策略列表并执行匹配的函数。为了处理复杂的条件逻辑（如大于、小于、包含、字符串匹配），通常会集成一个轻量级的表达式求值器，例如 expr 或 cel-go。

// Evaluator 是ABAC评估引擎
type Evaluator struct {
    policies []Policy
}

// Evaluate 对请求进行权限评估
func (e *Evaluator) Evaluate(ctx context.Context, req Request) (bool, error) {
    for _, p := range e.policies {
        // 1. 目标匹配：快速过滤
        if !matchTarget(p.Target, req) {
            continue
        }
        // 2. 条件评估：使用表达式引擎
        matched, err := evaluateCondition(p.Condition, req)
        if err != nil {
            return false, fmt.Errorf("condition eval error: %w", err)
        }
        if matched {
            // 3. 返回策略定义的效果
            return p.Effect == "Permit", nil
        }
    }
    // 默认拒绝 (Deny by default)
    return false, nil
}

// matchTarget 实现简单的属性值匹配
func matchTarget(t Target, req Request) bool {
    // 简化示例：检查主体角色是否在目标列表中
    if len(t.Subjects) > 0 {
        role, ok := req.Subject["role"].(string)
        if !ok || !contains(t.Subjects, role) {
            return false
        }
    }
    // ... 类似检查资源、操作、环境
    return true
}

// evaluateCondition 委托给表达式引擎
func evaluateCondition(cond map[string]interface{}, req Request) (bool, error) {
    // 伪代码：将cond和req传递给expr或cel-go引擎
    // program, _ := expr.Compile(cond["expression"], expr.Env(req))
    // output, _ := expr.Run(program, req)
    // return output.(bool), nil
    return true, nil
}

3.3 实战案例：文档访问控制

假设我们需要实现一个文档管理系统，要求：仅允许文档所有者或同一项目组的高级工程师在办公时间内（09:00-18:00）从内网IP编辑“机密”级文档。

我们可以将这条规则建模为以下策略：

{
  "id": "policy-doc-edit-001",
  "description": "允许项目组高级工程师在办公时间编辑机密文档",
  "target": {
    "actions": ["edit"],
    "resources": ["classification:confidential"]
  },
  "condition": {
    "expression": (
      "subject.role == 'senior_engineer' " +
      "&& subject.department == resource.project_department " +
      "&& environment.time >= 9 && environment.time < 18 " +
      "&& environment.ip.startsWith('10.0.')"
    )
  },
  "effect": "Permit"
}

当用户发起编辑请求时，Go引擎会构建一个 Request 对象，包含用户的角色、部门、当前时间、IP地址以及文档的密级和所属项目组。引擎遍历策略列表，命中上述策略后，使用表达式引擎对 condition 进行求值，最终返回 true 或 false。

3.4 ABAC vs. RBAC：选型对比

在实际项目中，ABAC和RBAC并非互斥。常见的架构是以RBAC为基础，在关键敏感操作上叠加ABAC策略，从而在管理效率和灵活性之间取得平衡。