如何基于RBAC（基于角色的访问控制）将CSV/XML转换为XACML？

• 先做字段映射，对齐RBAC模型与XACML 3.0 RBAC扩展规范的核心元素：
  • 原有XML中的角色ID、角色名称 → 映射为XACML的<Subject>节点下的角色属性
  • 角色所属应用 → 映射为XACML的<Environment>节点下的应用标识属性
  • 权限对应的url、subMenu字段 → 映射为XACML的<Resource>节点下的资源属性
  • 访问动作默认对应接口访问的GET操作，映射为XACML的<Action>节点下的动作属性
• 批量转换落地：30余条数据量较小，可选择两种实现路径：
  1. 编写XSLT转换脚本，输入所有XML文件后批量输出符合格式的XACML策略文件，适合后续有同类数据转换需求的场景
  2. 先编写适配你字段的XACML模板，逐条替换字段内容完成转换，适合仅一次性处理当前数据的场景
• 格式校验：转换完成后可通过XACML格式校验工具验证文件合法性，确保输出的策略可直接接入权限判定引擎使用。

以下是你给出的角色权限示例对应的XACML 3.0策略代码：

<?xml version="1.0" encoding="UTF-8"?>
<Policy xmlns="urn:oasis:names:tc:xacml:3.0:core:schema:wd-17" 
        PolicyId="policy-role-1" 
        RuleCombiningAlgId="urn:oasis:names:tc:xacml:1.0:rule-combining-algorithm:permit-overrides">
  <Description>权限策略：角色role:siasn-instance:profilasn:viewprofile所属应用Service profile ASN的访问权限</Description>
  <Target>
    <AnyOf>
      <AllOf>
        <!-- 匹配指定角色 -->
        <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
          <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">role:siasn-instance:profilasn:viewprofile</AttributeValue>
          <AttributeDesignator Category="urn:oasis:names:tc:xacml:1.0:subject-category:access-subject" 
                              AttributeId="urn:oasis:names:tc:xacml:2.0:subject:role" 
                              DataType="http://www.w3.org/2001/XMLSchema#string" 
                              MustBePresent="true"/>
        </Match>
        <!-- 匹配所属应用 -->
        <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
          <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">Service profile ASN</AttributeValue>
          <AttributeDesignator Category="urn:oasis:names:tc:xacml:3.0:attribute-category:environment" 
                              AttributeId="application-id" 
                              DataType="http://www.w3.org/2001/XMLSchema#string" 
                              MustBePresent="true"/>
        </Match>
      </AllOf>
    </AnyOf>
  </Target>

  <!-- 规则1：允许访问/tampilanData/pns资源 -->
  <Rule RuleId="rule-role-1-permit-pns" Effect="Permit">
    <Target>
      <AnyOf>
        <AllOf>
          <!-- 匹配资源URL -->
          <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">/tampilanData/pns</AttributeValue>
            <AttributeDesignator Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" 
                                AttributeId="resource-url" 
                                DataType="http://www.w3.org/2001/XMLSchema#string" 
                                MustBePresent="true"/>
          </Match>
          <!-- 匹配subMenu -->
          <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">pns</AttributeValue>
            <AttributeDesignator Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" 
                                AttributeId="sub-menu" 
                                DataType="http://www.w3.org/2001/XMLSchema#string" 
                                MustBePresent="true"/>
          </Match>
          <!-- 匹配GET访问动作 -->
          <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">GET</AttributeValue>
            <AttributeDesignator Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action" 
                                AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" 
                                DataType="http://www.w3.org/2001/XMLSchema#string" 
                                MustBePresent="true"/>
          </Match>
        </AllOf>
      </AnyOf>
    </Target>
  </Rule>

  <!-- 规则2：允许访问/tampilanData/pppk资源 -->
  <Rule RuleId="rule-role-1-permit-pppk" Effect="Permit">
    <Target>
      <AnyOf>
        <AllOf>
          <!-- 匹配资源URL -->
          <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">/tampilanData/pppk</AttributeValue>
            <AttributeDesignator Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" 
                                AttributeId="resource-url" 
                                DataType="http://www.w3.org/2001/XMLSchema#string" 
                                MustBePresent="true"/>
          </Match>
          <!-- 匹配subMenu -->
          <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">pppk</AttributeValue>
            <AttributeDesignator Category="urn:oasis:names:tc:xacml:3.0:attribute-category:resource" 
                                AttributeId="sub-menu" 
                                DataType="http://www.w3.org/2001/XMLSchema#string" 
                                MustBePresent="true"/>
          </Match>
          <!-- 匹配GET访问动作 -->
          <Match MatchId="urn:oasis:names:tc:xacml:1.0:function:string-equal">
            <AttributeValue DataType="http://www.w3.org/2001/XMLSchema#string">GET</AttributeValue>
            <AttributeDesignator Category="urn:oasis:names:tc:xacml:3.0:attribute-category:action" 
                                AttributeId="urn:oasis:names:tc:xacml:1.0:action:action-id" 
                                DataType="http://www.w3.org/2001/XMLSchema#string" 
                                MustBePresent="true"/>
          </Match>
        </AllOf>
      </AnyOf>
    </Target>
  </Rule>

  <!-- 默认规则：所有未匹配的请求均拒绝 -->
  <Rule RuleId="rule-deny-all" Effect="Deny">
  </Rule>
</Policy>

如果你的权限场景涉及POST、PUT等其他动作，可对应修改Action节点的属性值即可。

内容的提问来源于stack exchange，提问作者Rafif Favian