我评估PDP引擎,现在我试试AuthzForce Core。到目前为止,PDP对请求的评估运行非常可靠:
//My request and pdp configuration files
File confLocation = new File("D:/docs/XACML/AuthZForce/IIA001/pdp.xml");//pdp.xml tells the pdp where the policies xml files are
File requestFile = new File("D:/docs/XACML/AuthZForce/IIA001/Request.xml");
//I instantiate the pdp engine and the xacml parser
final PdpEngineConfiguration pdpEngineConf = PdpEngineConfiguration.getInstance(confLocation, null, null);
PdpEngineInoutAdapter<Request, Response> pdp = PdpEngineAdapters.newXacmlJaxbInoutAdapter(pdpEngineConf);
XmlUtils.XmlnsFilteringParser xacmlParserFactory = XacmlJaxbParsingUtils.getXacmlParserFactory(false).getInstance();
//I parse the request file
Object request = xacmlParserFactory.parse(requestFile.toURI().toURL());
if (request instanceof Request) {
//At this point I could access all request attributes or alter them
//I let the PDP evaluate the request
Response response = pdp.evaluate((Request) request);
//I check the results inside the response
for (Result result : response.getResults()) {
if (result.getDecision() == DecisionType.PERMIT) {
//it's permitted!
} else {
//denied!
}
}
}
现在,根据像[1]这样的文献,我不应该信任给定request-xacml文件中的属性。只要有可能,我必须检查属性提供者(例如患者数据库),如果给定的属性(例如患者出生日期)实际上属于患者,以防止发作。
否则,攻击者可以在请求中让患者更年轻,以便作为父母监护人访问患者的记录。
问题
Response response = pdp.evaluate((Request) request);
之前自行查看提供的请求吗?答案 0 :(得分:4)
pdp.xml
文件。您需要两个其他文件(XML目录和架构),具体取决于您要使用的属性提供程序。这在Using Attribute Providers section of AuthzForce Core's wiki。答案 1 :(得分:1)
除了@ cdan的出色响应之外,还有一些指示:
检查针对属性提供程序的请求是PDP或其他权限的任务吗?
PDP始终信任它收到的信息(属性),无论是来自PEP还是来自PIP。因此,PDP不需要通过检查PIP来验证它从PEP接收的值。这是适得其反的低效率。如果你不能相信PEP发送正确的价值,你怎么能相信它来执行正确的决定呢?
OASIS是否指出了有关该问题的具体内容?例如。配置文件的工作流程或语法
不,我们没有。 PIP行为超出了XACML规范的范围。
有没有办法让我的pdp引擎知道属性提供者? 我应该在响应响应= pdp.evaluate((请求)请求之前自己检查提供的请求);?
PDP应配置PIP。 PDP将使用它可以使用的所有PIP。