MarkLogic中如何区分文档不存在与无读/更新权限场景

问题说明 #

原有示例代码存在两个问题：

1. 语法错误：return语句后直接拼接else if分支，缺少前置if判断，本身无法正常执行
2. 逻辑缺陷：fn:doc()严格遵循当前用户的读权限控制规则——只要当前用户对目标URI没有读权限，无论文档是否真实存在，fn:doc()都会返回空序列，无法区分「文档不存在」和「文档存在但无访问权限」两种场景，会导致权限不足时错误抛出「文档不存在」的提示。

实现思路 #

要准确区分两类场景，必须拆分判断逻辑，遵循「先判断物理存在，再校验访问权限」的顺序：

• 物理存在性判断：需要通过最小权限提权的方式，绕过普通用户的读权限限制，仅查询目标URI是否在数据库中真实存在，这一步不读取、不返回文档实际内容，避免越权风险
• 权限校验：确认文档存在后，再校验当前用户是否持有目标文档的读/更新权限，无权限则返回对应提示，有权限再执行业务逻辑

可直接复用的XQuery实现代码 #

xquery version "1.0-ml";
(: 引入安全模块，如需做更细粒度的权限比对可使用该模块方法 :)
import module namespace sec = "http://marklogic.com/xdmp/security" at "/MarkLogic/security.xqy";

declare variable $schema-uri as xs:string := "/your/target/schema/path.xsd";

(: 提权判断文档是否物理存在，仅返回布尔结果，不泄露文档内容 :)
let $is-doc-exist := xdmp:invoke-function(
  function() { xdmp:document-exists($schema-uri) },
  <options xmlns="xdmp:eval">
    <privilege>
      <privilege-name>any-uri</privilege-name>
    </privilege>
  </options>
)
return
  (: 第一层判断：文档物理不存在，抛出对应错误 :)
  if (not($is-doc-exist)) then
    fn:error(xs:QName('e:no-schema'), 'The schema does not exist.', $schema-uri)
  else
    (: 第二层判断：校验当前用户是否有读权限 :)
    let $has-read-access := fn:exists(fn:doc($schema-uri))
    return
      if (not($has-read-access)) then
        fn:error(xs:QName('e:schema-access-denied'), 'Schema exists but you do not have read permission.', $schema-uri)
      else
        (: 校验通过，执行业务逻辑 :)
        let $schema := fn:doc($schema-uri)/xs:schema
        return $schema

扩展说明 #

• 如果需要校验更新权限，在确认文档存在后，可通过提权拿到文档的权限列表，比对当前用户所持有的角色是否包含文档配置的update权限即可，不要直接在提权逻辑中执行更新操作
• 提权时仅授予any-uri最小必要特权即可，不要直接使用admin角色提权，避免引入安全风险
• 不要单纯依赖异常捕获区分场景：默认配置下无权限访问和文档不存在的返回值一致，异常信息没有明确区分标识，先做物理存在性判断的逻辑可维护性更强

内容的提问来源于stack exchange，提问作者ravvi