Thực thi chính sách

Tổng quan

Mọi thao tác nhạy cảm trong HieraChain đều qua PolicyEngine. Chính sách gồm nhóm PolicyRule sắp xếp theo ưu tiên. Để giảm độ trễ, kết quả đánh giá được cache (TTL 5 phút, LRU). Mọi kết quả đều được ghi vào log kiểm toán trong bộ nhớ.

PolicyEngine là cổng ủy quyền duy nhất. Nó được MSP gọi sau khi xác minh danh tính và ngay trước khi gọi SubChain.add_event().

Biểu đồ luồng

sequenceDiagram
    autonumber
    participant Caller as 🖥️ API / Module nội bộ
    participant PE as ⚖️ PolicyEngine
    participant Cache as ⚡ EvaluationCache
    participant Policy as 📋 Policy

    Caller->>PE: evaluate_policy(policy_id, context)
    PE->>PE: cache_key = "{policy_id}:{SHA256(context)[:8]}"
    PE->>Cache: lookup(cache_key)

    alt Cache HIT (trong khoảng 5 phút TTL)
        Cache-->>PE: Kết quả lưu trong cache
        PE-->>Caller: result { effect: allow|deny }

    else Cache MISS
        PE->>Policy: policy.evaluate(context)
        Policy->>Policy: _check_disabled()
        Policy->>Policy: Sắp xếp các quy tắc theo thứ tự ưu tiên giảm dần
        loop Trên từng quy tắc PolicyRule
            Policy->>Policy: rule.evaluate(context)
            Note right of Policy: Thực hiện phép toán AND/OR/NOT trên các PolicyCondition<br/>Các phép so sánh: equals, contains, matches, in,...
            alt Quy tắc khớp VÀ hiệu lực tác động != mặc định
                Policy->>Policy: Ghi nhận vào applicable_rules<br/>Lưu thông tin decision_path
                Policy->>Policy: Ngắt vòng lặp — quy tắc ưu tiên cao hơn đè hiệu lực
            end
        end
        Policy-->>PE: EvaluationResult { effect, applicable_rules, decision_path }
        PE->>Cache: store(cache_key, result, cached_at=now)
        PE->>PE: _log_audit_event("policy_evaluated", ...)
        PE->>PE: _update_statistics(effect)
        PE-->>Caller: result { effect: allow|deny }
    end

Cấu trúc quy tắc chính sách

# Ví dụ: chỉ cho phép operator hợp lệ gửi sự kiện
policy = Policy(
    policy_id="event_submission_policy",
    name="Event Submission Access",
    effect=PolicyEffect.DENY,       # hiệu lực mặc định nếu không có quy tắc nào khớp
    rules=[
        PolicyRule(
            rule_id="allow_operators",
            priority=100,
            effect=PolicyEffect.ALLOW,
            conditions=[
                PolicyCondition(field="role", operator="in", value=["admin", "operator"])
            ],
            logic=RuleLogic.AND
        )
    ]
)

Các bước chi tiết

Phép so sánh điều kiện

Xử lý lỗi

Lớp và phương thức chính

Liên quan

• Danh tính MSP: MSP gọi evaluate_policy() sau khi xác minh danh tính
• Gửi Sự kiện: add_event() được bảo vệ bởi engine chính sách