貌似有点懂了 XACML 的一点东西

<Rule>, <Policy>, <PolicySet> 的 <Target> 是用来匹配 request context(就是请求)的。其中 <Match> 表示一次匹配，就像这样

<Rule>
  <Target>
    <AnyOf>
      <AllOf>
        <Match>
          <AttributeValue></AttributeValue>
          <AttributeDesignator></AttributeDesignator>
        </Match>
      </AllOf>
    </AnyOf>
  </Target>
</Rule>

不是太懂为什么要用 match 显式匹配 request 的内容。然后就是猜测 XACML 的策略的写法接近于 AST，写起来真的是太麻烦了。。。

有点想让我的 abac 实现接受的 request 只需要提供确定 subject 和 object 的“主键”，至于匹配策略如果让我的引擎去主动查 attribute 不知道会怎么样。