Galosys.Foundation.AspNetCore.Authorization 26.8.13.2

Galosys.Foundation.AspNetCore.Authorization

ASP.NET Core 授权适配层（PEP，Policy Enforcement Point）：将官方授权管线接线到核心引擎 Galosys.Foundation.Authorization 的统一授权模型。ACL / RBAC / ABAC / ReBAC 规则都表达为核心 PolicyRule，由同一个 IAuthorizationEngine 评估——本适配层不做模型区分，仅负责 Web 场景的桥接（声明式 [Authorize] / 命令式扩展 / HttpContext 环境属性源）。

设计文档：docs/designs/abac-design.md（终局设计 §3.3 双包分层）；核心包（PDP）见 Galosys.Foundation.Authorization。

能力清单

统一模型（ACL / RBAC / ABAC 无需区分）

适配层背后的核心引擎不区分规则类型——ACL 即 Conditions 为空的 PolicyRule：

{
  "Version": "1",
  "Statement": [
    {
      "Effect": "Allow",
      "Principal": ["user:alice"],
      "Action": ["doc:Read"],
      "Resource": ["acs:doc:*:*:report/123"]
    }
  ]
}

PolicyRule 可选 Category 元数据（"acl"/"rbac"/"abac"/"rebac"），仅用于管理界面分类，引擎评估忽略。Agent / Worker 直接引用核心包即可评估全部模型，无需任何额外组件。

使用示例

注册（Web，自含装配）

services.AddAuthorizationEngine(options =>
{
    options.PollingInterval = TimeSpan.FromSeconds(30);   // 热更新轮询
    options.Policies = new[] { policyRule };              // 核心 AuthorizationEngineOptions，或 PolicyFilePath / PolicySection
});
// 自含：官方 IAuthorizationService、动态策略提供者、授权处理器、HttpContext 环境属性源均已自动注册，无需额外调用

声明式（接口级授权）

[Authorize(Policy = "orders:edit")]   // policy 名即策略名，无需预注册
public async Task<UnifiedResponse> EditOrder(OrderUpdateCommand command) { ... }

命令式（资源级）

var result = await _authorizationService.AuthorizeAsync(User, order, "orders:approve");
if (!result.Succeeded) return UnifiedResponse.Fail("无权限");

显式四要素（Worker/Agent，零 HttpContext）

var decision = await _authorizationService.AuthorizeAsync(
    new Subject("alice").WithAttr("roleIds", new[] { "admin" }),
    order, "orders:edit",
    new EnvironmentContext().WithAttr("SourceIp", "10.1.2.3"));

替换策略存储（业务桥，引入包即替换）

services.AddAuthorizationEngine();
services.RemoveAll<IAuthorizationPolicyRepository>();
services.AddSingleton<IAuthorizationPolicyRepository, BopAbacPolicyStore>();   // 实现核心接口（动态模式）

扩展点契约：核心注册全 TryAdd（宿主先注册不被覆盖）；集成包在基础之后以 RemoveAll + Add 替换仓库/引擎，或以 TryAddEnumerable 追加属性提供者。Casbin 引擎替换、DataPermission 属性提供者均按此契约由独立集成包装配。

HttpContext 环境属性源（自动装配）

services.AddAuthorizationEngine();   // env.SourceIp / env.UserAgent 自动回退 HttpContext，无需显式装配

引擎直用（低层 API，零 Web）

var engine = sp.GetRequiredService<IAuthorizationEngine>();
var decision = await engine.EvaluateAsync(new AuthorizationRequest
{
    Subject = new Subject("alice"),
    Resource = new Resource("acs:doc:*:*:report/123"),
    Action = new Action("doc:Read"),
});
if (decision.IsAllowed) { /* 执行 */ }

依赖

• Galosys.Foundation.Authorization（核心 PDP，零 Http 引用）
• Galosys.Foundation.Core
• Microsoft.AspNetCore.Authorization（官方授权抽象）
• Microsoft.AspNetCore.Http（PEP 适配层必须引用 IHttpContextAccessor/HttpContextAccessor；已移除 Microsoft.AspNetCore.Http.Abstractions 直接引用）
• Microsoft.Extensions.DependencyInjection / Microsoft.Extensions.Logging

不依赖 Galosys.Foundation.AspNetCore 模块与 Galosys.Foundation.DataPermission（数据权限 / Casbin 为独立集成包的显式装配）。