使用控制（UCON）

概述

UCON（使用控制） 用 授权（A）、义务（B） 和 条件（C） 扩展了访问控制。它支持在使用过程中 持续 执行（而不只是在访问时），并支持 可变 的属性。 Casbin 核心库没有实现 UCON；基于会话的使用控制请使用 casbin-ucon 扩展。

模型与策略

注意：Casbin 的核心库并不直接支持 UCON。 UCON 功能由扩展库 casbin-ucon 提供，它增加了带条件、义务和持续监控能力的基于会话的访问控制。这个扩展可以使用 Casbin 核心支持的同样的模型和策略。

模型

[request_definition]
r = sub, obj, act

[policy_definition]
p = sub, obj, act

[policy_effect]
e = some(where (p.eft == allow))

[matchers]
m = r.sub == p.sub && r.obj == p.obj && r.act == p.act

策略

p, alice, document1, read

注意：在 UCON 中，条件和义务不写在 policy.csv 中，而是在代码中通过 casbin-ucon API 添加和管理。

核心组成

• 授权（A）：基于主体 / 对象属性的访问规则（与标准 Casbin 相同）。
• 义务（B）：主体在使用前或使用中必须执行的操作（例如记录日志、确认）。
• 条件（C）：必须满足的环境或系统状态（例如时间、地点）。

特点

• 持续执行：在整个使用会话期间检查，而不只是在进入时。
• 可变性：属性可以因使用而改变。
• 访问前 / 访问中 / 访问后：在访问时、使用中和使用后做出判定、执行义务。

应用案例

UCON 模型特别适用于：

• 数字版权管理（DRM）系统
• 医疗信息系统
• 云计算环境
• 物联网设备访问控制
• 协作环境中的数据共享
• 合规要求复杂的金融系统

用 casbin-ucon 实现

要在基于 Casbin 的应用中实现 UCON，使用 casbin-ucon 扩展库：

go get github.com/casbin/casbin-ucon

// Import the required packages
import (
    "github.com/casbin/casbin/v3"
    "github.com/casbin/casbin-ucon"
    "fmt"
    "time"
)

func main() {
    // Create standard Casbin enforcer
    e, _ := casbin.NewEnforcer("model.conf", "policy.csv")

    // Wrap with UCON functionality
    uconE := ucon.NewUconEnforcer(e)

    // Add conditions
    condition := &ucon.Condition{
        ID:   "location_condition",
        Name: "location",
        Kind: "always",
        Expr: "office",
    }
    uconE.AddCondition(condition)

    // Add obligations
    obligation := &ucon.Obligation{
        ID:   "post_log",
        Name: "access_logging",
        Kind: "post",
        Expr: "log_level:detailed",
    }
    uconE.AddObligation(obligation)

    // Create a session
    sessionID, _ := uconE.CreateSession("alice", "read", "document1", map[string]interface{}{
        "location":      "office",
        "log_level":     "detailed",
    })

    // UCON session-based enforcement
    session, err := uconE.EnforceWithSession(sessionID)
    if session == nil {
        // refused
        fmt.Println("session refused because: ", err)
    }

    // Monitor session status
    go func() {
        for {
            if !session.IfActive() {
                if session.GetStopReason() == ucon.NormalStopReason {
                    break
                }
                //TODO
                //decide how to handle session termination yourself
                // For example, clean up resources, close connections, write logs, notify the frontend, etc.
                fmt.Printf("%s %s %s is stopped because: %s\n",
                          session.GetSubject(), session.GetAction(),
                          session.GetObject(), session.GetStopReason())
                break
            }
            time.Sleep(200 * time.Millisecond)
        }
    }()

    // You can update attributes during the session
    // session.UpdateAttribute("location", "home")

    // Stop the session when done
    _ = uconE.StopMonitoring(sessionID)
}

实现说明

• UCON 涵盖了 MAC、DAC、RBAC 等传统访问控制模型
• 实现需要一个能够持续监控的引用监视器
• 属性更新（可变性）应原子地处理，以保持一致
• 义务可能需要与外部监控系统集成
• 条件的评估可能依赖访问控制系统之外的环境因素
• 使用 casbin-ucon 时，需要妥善管理会话生命周期和监控

与传统模型的对比

方面	传统访问控制	UCON
判定时机	仅访问前	访问前、访问中和访问后
属性可变性	静态	动态（使用过程中可以变化）
判定因素	仅授权	授权、义务和条件
具体实施	一次性检查	持续监控
撤销	显式撤销	可以根据属性变化自动撤销

参考资料

casbin-ucon 的完整 API 文档、详细用法和最新动态，见 casbin-ucon。