security - 如何设计跨多个技术栈的应用安全架构

Question

由于收购，我们有很多使用不同技术的模块。我们正在考虑一种集中应用程序安全控制实施的方法。我想到了两个解决方案，但似乎都有一些缺陷： Option1 创建一个独立的安全库。缺点是它不能用于不同的语言。我们至少需要提供不同语言的界面。

选项 2 使用 REST API 创建安全服务。然后，任何技术都可以使用它。但它会引入额外的性能开销。

你有这方面的经验吗？

谢谢。

Answer 1

请考虑选择XACML：

XACML 代表可扩展访问控制标记语言。该标准定义了以 XML 实现的声明性访问控制策略语言和描述如何根据策略中定义的规则评估授权请求的处理模型。

它可能适合您，因为它确实允许进行完全集中的访问控制。您只需要为每个特定模块实施 PEP（策略执行点）。

XACML 模型支持并鼓励将授权决策与使用点分离。当授权决策被纳入客户端应用程序时，当管理策略发生变化时，很难更新决策标准。当客户端与授权决策分离时，授权策略可以即时更新并立即影响所有客户端。