CBAC - 版本历史

20260503：/* 概览 */

2026-09-05T08:55:01Z

概览

2026年9月4日 (五) 19:16 20260503

2026-09-04T19:16:40Z

2026年9月4日 (五) 13:34 20260503

2026-09-04T13:34:42Z

显示更改

2026年9月3日 (四) 01:08 20260503

2026-09-03T01:08:50Z

2026年9月3日 (四) 01:05 20260503

2026-09-03T01:05:36Z

2026年9月3日 (四) 00:50 20260503

2026-09-03T00:50:26Z

2026年9月3日 (四) 00:47 20260503

2026-09-03T00:47:57Z

显示更改

2026年8月30日 (日) 23:12 20260503

2026-08-30T23:12:55Z

2026年8月30日 (日) 23:08 20260503

2026-08-30T23:08:30Z

2026年8月30日 (日) 22:58 20260503

2026-08-30T22:58:04Z

显示更改

@@ 第4行： / 第4行： @@
 <meta property="mw:pageNamespace" content="0" />
-<meta property="mw:revisionSHA1" content="1b89805c99cd8717dc27f4973d17a86e2f59ddb3" />
+<meta property="mw:revisionSHA1" content="bb6a5ee2dfaec6abb09392096a33b2bf618e9c0e" />
-<meta property="dc:modified" content="2026-09-04T13:34:42.000Z" />
+<meta property="dc:modified" content="2026-09-04T19:16:40.000Z" />
 <meta property="mw:html:version" content="2.1.0" />
 [https://www.smartlegalcontract.cn/mediawiki/index.php/CBAC]<title>CBAC</title><base href="https://www.smartlegalcontract.cn/mediawiki/index.php/" />[/mediawiki/load.php?modules=mediawiki.skinning.content.parsoid%7Cmediawiki.skinning.interface%7Csite.styles%7Cmediawiki.page.gallery.styles%7Cext.cite.style%7Cext.cite.styles%7Cext.pygments%7Cext.pygments&only=styles&skin=vector]<!--[if lt IE 9]><script src="/mediawiki/load.php?modules=html5shiv&only=scripts&skin=vector&sync=1"></script><script>html5.addElements('figure-inline');</script><![endif]-->
@@ 第11行： / 第11行： @@
 <meta http-equiv="vary" content="Accept" />
 ----
@@ 第26行： / 第16行： @@
-更新时间：2026.9.4
 将语言最简化，去除了将combination逻辑中，使用evalterm和逻辑谓词表达的方法。理由：在没有ifelse的情况下，无法表达其中某种组合逻辑。obligation的选取完全无法脱离if-else完成。
-成功转换了100+个从oasis官网获取的example
+成功转换了27个从oasis官网获取的example
-下一步安排：寻找一些更复杂的例子（周五夜里）
+下一步安排：寻找一些更复杂的例子（实战，官网没更多了）（周六）
-下一步安排：精进栈式判决测试，完善例子的输入，寻找xacml执行器并进行对比，在确认正确后进行效率测试（周六）
+下一步安排：简单判决测试，完善例子的输入，寻找xacml执行器并进行对比，在确认正确后进行效率测试（周六）
 一、基本结构

@@ 第1行： / 第1行： @@
 <meta charset="utf-8" />
 <meta property="mw:pageId" content="75" />
@@ 第28行： / 第40行： @@
 一、基本结构
-TODO
+PolicySet（可选；一整套策略集，此处不转化）
@@ 第37行： / 第78行： @@
 （2）Authentic  Term：在运行前临时进行变量赋值逻辑
-when 条件
+    ├── when 条件
-while 赋值
+    └── while 赋值
 （3）rule_term
-when：rule级target
+    ├── when：rule级target
-where：condition
+    ├── where：condition
-while：rule级obligation
+    └── while：rule级obligation
 (4)   obligation_term：policy级的义务，在最后执行
-使用while调用platform的函数
+    └── 使用while调用platform的函数
 =例1：sample6=
 来源：https://is.docs.wso2.com/en/6.0.0/references/extend/access-control/xacml3-sample6/

@@ 第1行： / 第1行： @@
 <meta charset="utf-8" />
 <meta property="mw:pageId" content="75" />
@@ 第20行： / 第32行： @@
 <meta property="mw:html:version" content="2.1.0" />
 [https://www.smartlegalcontract.cn/mediawiki/index.php/CBAC]总体执行[/mediawiki/load.php?modules=mediawiki.skinning.content.parsoid%7Cmediawiki.skinning.interface%7Csite.styles%7Cmediawiki.page.gallery.styles%7Cext.cite.style%7Cext.cite.styles%7Cext.pygments%7Cext.pygments&only=styles&skin=vector]
@@ 第177行： / 第190行： @@
         when ATTR(Request::Act, actionId) = "read"
-          and "admin_emps" belong ATTR(Request::Sub, groups)
+          and "admin_emps"  in  ATTR(Request::Sub, groups)
         where return Permit

@@ 第1行： / 第1行： @@
+<meta charset="utf-8" />
 <meta property="mw:pageId" content="75" />
 <meta property="mw:pageNamespace" content="0" />
-<meta property="mw:revisionSHA1" content="4c9dca79b50e053e3f7764f329c8ffbeb56d198a" />
+<meta property="mw:revisionSHA1" content="c14026e9edf9ff3dd34d05da43c296c7fa910e7e" />
-<meta property="dc:modified" content="2026-09-03T00:47:57.000Z" />
+<meta property="dc:modified" content="2026-09-03T00:50:26.000Z" />
 <meta property="mw:html:version" content="2.1.0" />
-[https://www.smartlegalcontract.cn/mediawiki/index.php/CBAC]<title>CBAC</title><base href="https://www.smartlegalcontract.cn/mediawiki/index.php/" />[/mediawiki/load.php?modules=mediawiki.skinning.content.parsoid%7Cmediawiki.skinning.interface%7Csite.styles%7Cmediawiki.page.gallery.styles%7Cext.cite.style%7Cext.cite.styles%7Cext.pygments%7Cext.pygments&only=styles&skin=vector]<!--[if lt IE 9]><script src="/mediawiki/load.php?modules=html5shiv&only=scripts&skin=vector&sync=1"></script><script>html5.addElements('figure-inline');</script><![endif]-->
+[https://www.smartlegalcontract.cn/mediawiki/index.php/CBAC][/mediawiki/load.php?modules=mediawiki.skinning.content.parsoid%7Cmediawiki.skinning.interface%7Csite.styles%7Cmediawiki.page.gallery.styles%7Cext.cite.style%7Cext.cite.styles%7Cext.pygments%7Cext.pygments&only=styles&skin=vector]
 <meta http-equiv="content-language" content="zh-cn" />
 <meta http-equiv="vary" content="Accept" />
+meta
 <meta property="mw:pageId" content="75" />
 <meta property="mw:pageNamespace" content="0" />
-<meta property="mw:revisionSHA1" content="d27a609efb4570c5f98236e815818dcbb1902481" />
+<meta property="mw:revisionSHA1" content="c14026e9edf9ff3dd34d05da43c296c7fa910e7e" />
 <meta property="dc:modified" content="2026-08-30T23:12:55.000Z" />
 <meta property="mw:html:version" content="2.1.0" />
-[https://www.smartlegalcontract.cn/mediawiki/index.php/CBAC][/mediawiki/load.php?modules=mediawiki.skinning.content.parsoid%7Cmediawiki.skinning.interface%7Csite.styles%7Cmediawiki.page.gallery.styles%7Cext.cite.style%7Cext.cite.styles%7Cext.pygments%7Cext.pygments&only=styles&skin=vector]
+[https://www.smartlegalcontract.cn/mediawiki/index.php/CBAC]总体执行[/mediawiki/load.php?modules=mediawiki.skinning.content.parsoid%7Cmediawiki.skinning.interface%7Csite.styles%7Cmediawiki.page.gallery.styles%7Cext.cite.style%7Cext.cite.styles%7Cext.pygments%7Cext.pygments&only=styles&skin=vector]
-<meta http-equiv="content-language" content="zh-cn" />
-<meta http-equiv="vary" content="Accept" />
-<meta property="mw:revisionSHA1" content="d27a609efb4570c5f98236e815818dcbb1902481" />
+<nowiki>= 总体顺序 =</nowiki>
 target term
@@ 第167行： / 第162行： @@
         where return Permit
     ## Type(comb)
@@ 第178行： / 第172行： @@
         where return Permit
     term rule_target_1: Sub can read Resource
@@ 第184行： / 第177行： @@
         when ATTR(Request::Act, actionId) = "read"
-          and evalTerm(rule_condition_1, Request) = Permit
+          and "admin_emps" belong ATTR(Request::Sub, groups)
         where return Permit
     term rule_target_2: Sub can access Resource
-        when evalTerm(rule_condition_2, Request) = Permit
+        when when ATTR(Request::Obj, resourceId) in {
             "<nowiki>http://localhost:8280/services/Customers/getVersion1</nowiki>",
@@ 第396行： / 第372行： @@
 ==转换版：==
 contract CopyrightApprove {
@@ 第456行： / 第430行： @@
+    }
     ## Type(match)
@@ 第466行： / 第439行： @@
           and ATTR(Request::Obj, agreementType) = "<nowiki>urn:oasis:names:tc:xacml:3.0:ipc:resource:agreement-type:copyright-grant</nowiki>"
         where return Permit
     ## Type(comb)
@@ 第475行： / 第447行： @@
         when evalTerm(rule_target, Request) = Permit
-        where evalTerm(obligation_mark, Request)  AND evalTerm(obligation_encrypt, Request)  return Permit
+        where evalTerm(obligation_mark, Request) AND evalTerm(obligation_encrypt, Request)
     term rule_target: Sub can use Resource
@@ 第482行： / 第455行： @@
         when ATTR(Request::Obj, ipOwner) = "Acme"
-          and evalTerm(rule_condition, Request) = Permit
+          and  ATTR(Request::Sub, organization) = "Wiley Corp"
           and fn::string::oneAndOnly(ATTR(Request::Sub, agreementId)) =
@@ 第502行： / 第468行： @@
         where return Permit
     term obligation_mark: Platform must marking("Copyright 2011 Acme")
-         when True
+        when true
     term obligation_encrypt: Platform must encrypt()
-        when True
+        when true
+}
+*

@@ 第1行： / 第1行： @@
 <meta property="mw:pageId" content="75" />
 <meta property="mw:pageNamespace" content="0" />
@@ 第384行： / 第396行： @@
 ==转换版：==
@@ 第438行： / 第451行： @@
     addition fn {
-        fn::string::oneAndOnly(x: String): String
+        oneAndOnly(x: String): String
-        fn::dateTime::oneAndOnly(x: dateTime): dateTime
+        oneAndOnly(x: dateTime): dateTime
+    }
@@ 第493行： / 第506行： @@
     term obligation_mark: Platform must marking("Copyright 2011 Acme")
-         when true
+         when True
     term obligation_encrypt: Platform must encrypt()
-        when true
+        when True
+}
+*

@@ 第1行： / 第1行： @@
-<meta charset="utf-8" />
+<meta property="mw:pageId" content="75" />
 = 概述
 <meta property="mw:pageId" content="75" />
 <meta property="mw:pageNamespace" content="0" />
-<meta property="mw:revisionSHA1" content="58c2f9929966cca5fff2c61922f72d8e94d9c300" />
+<meta property="mw:revisionSHA1" content="256a4cfa7999ae45eb97cc5690cc00c9c38a6705" />
-<meta property="dc:modified" content="2026-08-30T22:58:04.000Z" />
+<meta property="dc:modified" content="2026-08-30T23:08:30.000Z" />
 <meta property="mw:html:version" content="2.1.0" />
 [https://www.smartlegalcontract.cn/mediawiki/index.php/CBAC] =
-[/mediawiki/load.php?modules=mediawiki.skinning.content.parsoid%7Cmediawiki.skinning.interface%7Csite.styles%7Cmediawiki.page.gallery.styles%7Cext.cite.style%7Cext.cite.styles%7Cext.pygments%7Cext.pygments&only=styles&skin=vector]主体注册时签主体合约，资源托管时签客体合约；两份合约放入同一个 policySet，按业务场景组合
+[/mediawiki/load.php?modules=mediawiki.skinning.content.parsoid%7Cmediawiki.skinning.interface%7Csite.styles%7Cmediawiki.page.gallery.styles%7Cext.cite.style%7Cext.cite.styles%7Cext.pygments%7Cext.pygments&only=styles&skin=vector]1、主体
-policySet 是未签署的组合框架，policy 是一份已签署合约
+<meta property="mw:revisionSHA1" content="256a4cfa7999ae45eb97cc5690cc00c9c38a6705" />
-CBAC 是主文档，主体合约 + 客体合约，两份都签署
+- policySet 是未签署的组合框架，policy 是一份已签署合约
-SPESC 是执行投影。判决投影管 Permit/Deny，执行投影管付费、分账、违约
+- CBAC 是主文档，主体合约 + 客体合约，两份都签署
-因为 SPESC 本身只有立约和付款，装不下访问控制和角色派生，CBAC 补这一层
+- SPESC 是执行投影。判决投影管 Permit/Deny，执行投影管付费、分账、违约
-原始 SPESC 格式不能破坏，只能追加：
+- 因为 SPESC 本身只有立约和付款，装不下访问控制和角色派生，CBAC 补这一层
-party / asset / term 原样保留
+、原始 SPESC 格式不能破坏，只能追加：
-term 管法律权利义务
+- party / asset / term 原样保留
-access 管访问控制判决
+- term 管法律权利义务
-关联：
+- access 管访问控制判决
-policy 里的 party / asset 是属性字典，给 access 提供 subject.role、resource.type 这类取值
+、关联：
-policySet 里的 request 是统一输入，告诉引擎 subject 对应谁、resource 对应谁
+- policy 里的 party / asset 是属性字典，给 access 提供 subject.role、resource.type 这类取值
-授权/角色派生 SPESC 没有，所以 term 动作带实参，是显式扩展。
+- policySet 里的 request 是统一输入，告诉引擎 subject 对应谁、resource 对应谁
-term 的授权动作调用先执行，把角色派生结果交给 access 用
+- 授权/角色派生 SPESC 没有，所以 term 动作带实参，是显式扩展。
-找到的xacml没有托管合约下的语义，于是Platform 义务按需补，简单例子就只留 party/asset/term/access。
+、找到的xacml没有托管合约下的语义，于是Platform 义务按需补，简单例子就只留 party/asset/term/access。
-后续使用：
+- 授权中心按 sub/obj 找到两份合约
-请求只带 Subid / Objid / Act
+- 请求只带 Subid / Objid / Act
-授权中心按 sub/obj 找到两份合约
+- 判决引擎只读 access和授权动作调用派生的属性，不读 term 的 must / while / where / breach
-判决引擎只读 access和授权动作调用派生的属性，不读 term 的 must / while / where / breach
+- term 的付费、分账、违约留给 SPESC 投影
-term 的付费、分账、违约留给 SPESC 投影
+- Permit 后生成具体 SPESC，再发 token；资源中心验 token 放行；放行后触发链上具体 SPESC 执行
-Permit 后生成具体 SPESC，再发 token；资源中心验 token 放行；放行后触发链上具体 SPESC 执行
+- 判决和执行读同一份主文档，但读的部分不同，所以视图一致性用双 AST 检查兜底
-判决和执行读同一份主文档，但读的部分不同，所以视图一致性用双 AST 检查兜底
+<meta charset="utf-8" />
+<title>CBAC</title>
 =例1：基础policy，OASIS 规范正式例子的起点=