15、扩展基于属性的访问控制：原理、应用与优势

扩展基于属性的访问控制：原理、应用与优势

1. 机密性权限（CP）概述

机密性权限（CP）与基于角色的访问控制（RBAC）权限不同，它涵盖了用户、操作和受保护对象。下面我们来详细了解CP如何用于授权。

1.1 CP授权示例

假设有一个代表授予“精神科医生”角色的临床用户在正常处理（缩写为“N”）且无覆盖的情况下，对精神病数据进行读取和追加访问的CP。通过CP中每个分类器的分类器值层次结构，可以派生出其他CP。例如，对于上述CP，一个派生的CP可能包含分类器值 \UserRole, SeniorPsychiatrist[。CP中的分类器值范围也可以进行指定。

1.2 CP匹配规则

CP匹配（即有资格授权事务）的条件有两个：
- 若事务中包含CP的所有分类器值，则该CP匹配。
- 若CP的某个派生CP匹配，则该CP也匹配。

例如，某特定事务就会被上述权限CP1匹配并允许。

2. 拒绝权限、覆盖与拒绝级别

2.1 拒绝权限（Deny CPs）

拒绝CP是一种负面权限，用于阻止访问。它可以非常详细，针对特定用户和数据。例如，CP2在级别1拒绝Fred在担任“精神科医生”（和“高级精神科医生”）角色时访问Alice的精神病学数据。但如果通过另一个CP被授权覆盖该拒绝权限，且Fred处于“高级精神科医生”角色，他就可以使用“CP覆盖”来取消CP2的拒绝效果。

2.2 拒绝级别（Deny Levels）

拒绝级别是拒绝权限的强度级别，较高级别的拒绝级别包含较低级别指定的拒绝权限。这意味着某些用户可