Galosys.Foundation.AspNetCore.Authorization 26.9.23.1

Galosys.Foundation.AspNetCore.Authorization

ASP.NET Core 授权适配层（PEP，Policy Enforcement Point）：将官方授权管线接线到核心引擎 Galosys.Foundation.Authorization 的统一授权模型。ACL / RBAC / ABAC / ReBAC 规则都表达为核心 PolicyRule，由同一个 IAuthorizationEngine 评估——本适配层不做模型区分，仅负责 Web 场景的桥接（声明式 [Authorize] / 命令式扩展 / HttpContext 环境属性源）。

设计文档：docs/designs/abac-design.md（终局设计 §3.3 双包分层）；核心包（PDP）见 Galosys.Foundation.Authorization。

能力清单

统一模型（ACL / RBAC / ABAC 无需区分）

适配层背后的核心引擎不区分规则类型——ACL 即 Conditions 为空的 PolicyRule：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": ["user:alice"],
      "Action": ["doc:Read"],
      "Resource": ["acs:doc:*:*:report/123"]
    }
  ]
}

PolicyRule 可选 Category 元数据（"acl"/"rbac"/"abac"/"rebac"），仅用于管理界面分类，引擎评估忽略。Agent / Worker 直接引用核心包即可评估全部模型，无需任何额外组件。

使用示例

注册（Web，自含装配）

services.AddAuthorizationEngine(options =>
{
    options.PollingInterval = TimeSpan.FromSeconds(30);   // 热更新轮询
    options.Policies = new[] { policyRule };              // 核心 AuthorizationEngineOptions，或 PolicyFilePath / PolicySection
});
// 自含：官方 IAuthorizationService、动态策略提供者、授权处理器、HttpContext 环境属性源均已自动注册，无需额外调用

声明式（接口级授权）

[Authorize(Policy = "orders:edit")]   // policy 名即策略名，无需预注册
public async Task<UnifiedResponse> EditOrder(OrderUpdateCommand command) { ... }

命令式（资源级）

var result = await _authorizationService.AuthorizeAsync(User, order, "orders:approve");
if (!result.Succeeded) return UnifiedResponse.Fail("无权限");

显式四要素（Worker/Agent，零 HttpContext）

var decision = await _authorizationService.AuthorizeAsync(
    new Subject("alice").WithAttr("roleIds", new[] { "admin" }),
    order, "orders:edit",
    new EnvironmentContext().WithAttr("SourceIp", "10.1.2.3"));

替换策略存储（业务桥，引入包即替换）

services.AddAuthorizationEngine();
services.RemoveAll<IAuthorizationPolicyRepository>();
services.AddSingleton<IAuthorizationPolicyRepository, BopAbacPolicyStore>();   // 实现核心接口（动态模式）

扩展点契约：核心注册全 TryAdd（宿主先注册不被覆盖）；集成包在基础之后以 RemoveAll + Add 替换仓库/引擎，或以 TryAddEnumerable 追加属性提供者。Casbin 引擎替换、DataPermission 属性提供者均按此契约由独立集成包装配。

业务桥（动态模式，模板对齐参考）

模板若已有自有 RBAC schema（Resource / RoleResource 式：资源承载 Perms，资源↔角色/Agent 绑定），可让 Resource.Perms 直接成为策略名，用业务仓储实现 IAuthorizationPolicyRepository 动态组装 PolicyRule——无需数据迁移，也无需编写 Handler：

// 每个资源的每个权限码生成一条规则：Id/Actions = Perm，Principals = 绑定该资源的全部主体（role:* / agent:*）
public sealed class BopAbacPolicyStore : IAuthorizationPolicyRepository
{
    private readonly IReadOnlyList<PolicyRule> _rules = /* 从 Resource + RoleResource 组装 */;

    public ValueTask<IReadOnlyList<PolicyRule>> GetAllAsync(CancellationToken ct = default) => new(_rules);
    public ValueTask<long> GetVersionAsync(CancellationToken ct = default)
        => new(/* RoleResource/Resource 表 MAX(UpdatedAt).Ticks，无数据为 0 */);
    // GetPolicyByIdAsync / ReloadAsync / GetRulesForPrincipalAsync 依契约实现
}

组装（在 AddAuthorizationEngine 之后「引入包即替换」）：

services.AddAuthorizationEngine();
services.RemoveAll<IAuthorizationPolicyRepository>();
services.AddSingleton<IAuthorizationPolicyRepository, BopAbacPolicyStore>();

方法标注 [Authorize(Policy = "user:list")]（Perms 即策略名），动态策略提供者自动构造需求，AuthorizationEngineHandler 经业务桥组装规则评估，无需预注册、无需 Handler。

角色→主体：引擎把主体属性 Roles 展开为 role:{r}；业务模板通过 IAuthorizationAttributeResolver（PIP）把当前用户角色集合（如 IDataPermissionContext.RoleIds）桥接进 request.Subject.Set("Roles", roleIds)。

Agent 主体验证（与 RBAC 并列）

Agent 作为一等公民：Principals 可含 agent:{agentId}，GetRulesForPrincipalAsync 按 {type}:{id} 统一匹配。显式四要素请求用 Subject(id, type: "agent") 直接以 agent:{id} 主体评估；双重主体（Agent 代用户执行）——Agent 身份经 Principals 判定，所代用户落在 user 域属性（框架仅内置 user/resource/env 属性域，无 agent 域）：

// 显式 Agent 主体
var decision = await _authorizationService.AuthorizeAsync(
    new Subject("data-analyzer", "agent"), report, "report:view", null);

// 双重主体：Agent(agent:data-analyzer) 只能代 principalUserId == 当前 user.userId 的用户操作
var policy = new PolicyRule
{
    Id = "report:view", Effect = PolicyEffect.Allow,
    Principals = ["agent:data-analyzer"], Actions = ["report:view"], Category = "rbac",
    Conditions =
    [
        new ConditionBlock { Operator = ConditionOperator.StringEquals,
            Key = "user.principalUserId", Values = ["${user.userId}"] },
    ],
};
// 请求侧：Agent 主体注入 principalUserId 与 userId 两个 subject 属性
var subject = new Subject("data-analyzer", "agent")
    .Set("principalUserId", "u-42")
    .Set("userId", "u-42");

HttpContext 环境属性源（自动装配）

services.AddAuthorizationEngine();   // env.SourceIp / env.UserAgent 自动回退 HttpContext，无需显式装配

引擎直用（低层 API，零 Web）

var engine = sp.GetRequiredService<IAuthorizationEngine>();
var decision = await engine.EvaluateAsync(new AuthorizationRequest
{
    Subject = new Subject("alice"),
    Resource = new Resource("acs:doc:*:*:report/123"),
    Action = new Action("doc:Read"),
});
if (decision.IsAllowed) { /* 执行 */ }

依赖

• Galosys.Foundation.Authorization（核心 PDP，零 Http 引用）
• Galosys.Foundation.Core
• Microsoft.AspNetCore.Authorization（官方授权抽象）
• Microsoft.AspNetCore.Http（PEP 适配层必须引用 IHttpContextAccessor/HttpContextAccessor；已移除 Microsoft.AspNetCore.Http.Abstractions 直接引用）
• Microsoft.Extensions.DependencyInjection / Microsoft.Extensions.Logging

不依赖 Galosys.Foundation.AspNetCore 模块与 Galosys.Foundation.DataPermission（数据权限 / Casbin 为独立集成包的显式装配）。