WSOS 标识 - 具有一组多个元素的 PIP 扩展返回空白

Question

我们的测试表明，WSO2 PIP扩展模块实现了与PDP集成连接的"Set"类(=AttributeFinder(。此接口目前只能传输一个元素。一旦我们对组定义使用自定义查找，生成一个包含多个字符串类型元素的集合，WSO2 PDP 将返回一个没有信息的空白字符串。

来自 WSO2 的示例代码：

@Override
    public Set<String> getAttributeValues(String subject, String resource, String action,
                                  String environment, String attributeId, String issuer) throws Exception {
        Set<String> roles = new HashSet<String>();
        String role = findRole(subject);
        if(role != null){
            roles.add(role);
        }
        return roles;
    }    

PIP 扩展示例下载源：

https://svn.wso2.org/repos/wso2/carbon/platform/trunk/components/identity/org.wso2.carbon.identity.samples.entitlement.pip/src/main/java/org/wso2/carbon/identity/samples/entitlement/pip/

我们的查找程序使用基于字符串的数据类型，该数据类型与元素的数据类型匹配，请参阅下面的 XACML 代码：.

<AttributeDesignator Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" AttributeId="http://w3.red.com/subject/groupsUserBelong" DataType="http://www.w3.org/2001/XMLSchema#string" MustBePresent="false"></AttributeDesignator> 

访问组处理是 XACML 逻辑处理中非常常见的任务，因此这是实现 XACML 策略和规则的关键功能。

此失败行为是一个错误(返回空白(，还是 WSO2 XACML 是否使用字符串的多个元素为集合提供编程实现，根据数据元素的数量自动生成字符串包，每个元素一个字符串？

要完成分析，请检查上面的示例代码，以及作为名为 AbstractPIPAttributeFinder 的匹配抽象类。两者都引用名为"roles"的返回值，在抽象类中它被描述为"值"。一旦要返回的对象被定义为 Set 并且字段名称以复数形式描述它，它基本上可以自我解释传输的值可以是一个或多个元素，这些元素是 Set 构造的一部分，通常是 String 数据类型的每个元素。

该逻辑适用于单个元素，并且在使用时失败多个元素，在 XACML 接口返回一个"空白"字符串来代替"字符串包"。

Answer 1

在对通过模块的 PIP 数据流进行详细分析后，我们在 PIP 扩展程序中圈出了这个问题。您可以在下面找到用于寻址和传输数据字段的逻辑。新逻辑能够传输多个元素(例如组或角色(，这些元素已通过 ObligationExpression 和 String-bag 比较进行了测试，这两个元素在部署新扩展代码后都成功执行。

public Set<String> getAttributeValues(String subject, String resource,
                String action, String environment, String attributeId, String issuer)
                throws Exception {
            Set<String> myHash = new HashSet<String>();
            Map<String, String> myMap = null;
            if (attributeId.trim().equalsIgnoreCase("http://w3.red.com/subject/versionOfPIP")) {
                myHash.add(myversion.toString().trim());
                System.out.println(myversion.toString().trim());
            } else if (attributeId.trim().equalsIgnoreCase("http://w3.red.com/subject/groupsUserBelong")) {
                String myGroups = RedRedGroupAttrFinder.
                        getOnlyGroups(RedRedGroupAttrFinder.redGroupHTTPsSlaphAPI(subject));
                ArrayList<String> myGroupsArrayL =RedRedGroupAttrFinder.convertStringToArraylist(myGroups);
                for (String element : myGroupsArrayL) {
                    myHash.add(element.toString().trim());
                    }
            } else if (attributeId.trim().equalsIgnoreCase("http://w3.red.com/subject/employeeCountryCode")) {
                myMap = LdapHash.searchRedPagesByIntranetEmail(subject);
                myHash.add(myMap.get(attributeId.substring(26).toString().trim()));
            } else {
                myHash.add("never");
            }
            return myHash;
        }
}