关于Biscuit在Authority块与后续块匹配结果差异的技术问询

核心问题出在Biscuit的规则作用域限制：

• 顶层的policy（也就是你写的allow if right($op), operation($op);）只能调用Authority块中定义的规则，后续附加块里的规则无法被policy的allow语句直接访问。
• 当你把所有内容放在Authority块时，right规则属于Authority块，policy可以正常触发第二个right规则：你的user("foo", "admin")匹配user($user_id, $role)，role("admin", ["card:read", "card:write"])匹配role($role, $permissions)，operation("card:write")匹配operation($operation)，且权限列表包含该操作，所以条件满足，匹配通过。
• 当把内容移到后续块时，right规则不在Authority块范围内，policy找不到这个规则，自然无法满足allow的条件，返回匹配失败的结果。

• 把right这类核心权限规则固定放在Authority块中，后续块只补充user、operation、card这类动态事实；
• 如果需要在后续块添加自定义规则，必须在Authority块中定义对应的桥接规则，让policy能间接调用到后续块的规则，但这种场景比较少见，通常推荐核心规则放在Authority块。

调整后的示例结构 #

Authority块内容：

role("admin", ["card:read", "card:write"]);
role("buyer", ["card:read"]);

right($operation) <-
operation($operation),
user($user_id, $user_role),
card_owner($user_id, $card_id),
card($card_id),
$operation == "card:write";

right($operation) <-
user($user_id, $role),
operation($operation),
role($role, $permissions),
$permissions.contains($operation);

后续块内容：

operation("card:write");
user("foo", "admin");
card("my-card-id");

这样无论后续块怎么补充事实，policy都能通过Authority块的right规则完成权限校验。

内容的提问来源于stack exchange，提问作者federico sordillo