【Agent 身份与安全】细粒度 Scope 与 UMA 2.0 启示
从 coarse scope 到 resource-specific consent：UMA 2.0 Permission Ticket 模型、Google incremental auth 对照，以及 Agent 场景下的动态授权边界。
authorization 标签归档
共 11 篇文章 · 返回首页
【Agent 身份与安全】Function Calling 的授权模型
Tool schema 暴露面、允许列表 vs OPA/Cedar 策略引擎、SQL Agent 的 statement class 与 RLS 边界，以及 Host 层 tool 调用拦截架构。
身份与访问控制工程
从 OIDC、OAuth 2.1、SAML、SCIM 到多租户权限、CIAM、PAM 与身份平台选型——系统拆解现代身份与访问控制的协议、架构与工程实践。
【身份与访问控制工程】IAM 全景：为什么这是高价值赛道
从 2020 年 SolarWinds 到 2024 年 Okta 支持系统泄露，身份基础设施的安全失败反复证明一件事：IAM 不是 IT 支撑系统，而是安全架构的承重墙。本文建立现代 IAM 的全景地图——从认证协议、令牌体系、权限模型到身份治理与平台选型，给出 5 个贯穿全系列的核心问题。
【身份与访问控制工程】RBAC、ABAC、ReBAC：权限模型怎么选
RBAC 简单但会角色爆炸，ABAC 灵活但策略管理失控时更可怕，ReBAC 表达力强但引入了图遍历的性能约束。三种模型不是'选一个升级另一个'的线性关系，而是在表达能力、管理成本和性能三者之间做工程权衡。本文从每种模型的本质数据结构出发，拆解选型框架。
【身份与访问控制工程】Zanzibar 风格权限系统：Google 的全球授权引擎
Google Zanzibar 论文在 2019 年发布后，引发了开源授权系统的一波重新设计：Auth0 FGA、SpiceDB、Permify、Ory Keto——全都基于 Zanzibar 的'关系图+命名空间配置'模型。但论文本身只讲了 What，没深入 Why。本文从 Zanzibar 的 relation tuple 模型、namespace config 的语义、consistency 模型（Zookie）和工程权衡出发，拆解为什么 Zanzibar 的设计决策是这样的，以及你自己实现时要面对什么。
【身份与访问控制工程】OPA、Cedar 与策略引擎落地
OPA 是 CNCF 的策略引擎标准答案，Rego 是它的策略语言；Cedar 是 AWS 开源的新竞争者，基于 Rust 的 WASM 编译执行、语法更接近 SQL。两者在架构模式（sidecar vs 中心化）、策略语言设计哲学和性能特征上有根本差异。本文从策略引擎的架构模式出发，拆解 OPA Rego 的核心语义与性能限制、Cedar 的设计取舍，以及策略即代码（Policy as Code）在 CI/CD 中的落地。
【身份与访问控制工程】B2B SaaS 多租户权限设计
多租户权限系统是 IAM 中工程复杂度最高的场景之一——每个租户想要自己的角色、自己的组织树、自己的审批流和完全隔离的数据。这四种需求会互相冲突。本文从租户隔离模型出发，拆解四层权限架构、租户级 RBAC 的扩展方案、组织树与数据权限的联动，以及跨租户授权（如第三方服务商访问客户数据）的架构设计。
【系统架构设计】授权架构：RBAC、ABAC 与策略引擎
授权是安全架构的核心环节。本文从 RBAC 的角色爆炸问题出发，深入剖析 ABAC、ReBAC 与 Google Zanzibar 模型，并结合 OPA 策略引擎的集成实践，给出权限数据存储与缓存的工程方案。
【金融科技工程】07 卡组织收单链路：银联/Visa/Mastercard、ISO 8583、ISO 20022 迁移
一笔刷卡交易从 POS/网关到发卡行再到清算的全链路剖析：授权、认证（3DS）、清算、结算、争议与对账；ISO 8583 报文拆解、BIN/PAN/Token、EMV 3DS、PCI DSS 与 HSM；附 Python/Go 构造 0100 报文示例。
以实例说明 OAuth2
OAuth2 授权协议详解：单点登录、第三方授权的实现原理与实战案例