使用OPA实现ABAC时如何校验用户JWT声明匹配指定访问策略

你需要的是属性子集匹配逻辑，而非全对象等值匹配，直接用Rego内置的every表达式遍历策略中定义的用户属性校验即可，修改后的完整代码如下：

package play

default allow = false

allow {
    some p
    policy := data.policies[p]
    policy.request_path == input.request_path
    
    # 仅校验策略中明确要求的用户属性，忽略JWT中多余的声明字段
    every key, expected_val in policy.user {
        input.user[key] == expected_val
    }
}

逻辑说明 #

• 原写法policy.user == input.user要求两个对象的键、值完全一致，JWT额外返回的email等字段会导致匹配失败
• 你之前尝试的交集匹配思路是可行的，但intersection函数仅支持集合类型参数，直接传入对象会报错，相比转集合再对比的写法，every遍历的实现更简洁易读，性能也更优
• 新写法仅遍历policy.user中定义的所有属性，只要input.user对应属性的取值全部匹配就会通过校验，多余字段不会影响判断
• 如果input.user不存在策略要求的属性，表达式会直接返回false，符合权限校验的安全预期

• OPA官方示例库：包含ABAC、RBAC、API鉴权等数十种常见场景的可运行策略模板，直接修改适配即可快速落地
• 社区中文教程合集：国内OPA开发者整理的从语法入门到生产落地的全套资料，规避了官方文档知识点零散的问题
• OPA社区讨论群：有大量国内业务的落地实践经验分享，遇到语法或性能问题可以快速找到参考方案

内容的提问来源于stack exchange，提问作者Alen