[Authorization](https://cap.cloud.sap/docs/guides/authorization) 意味著透過向 CDS 模型新增相應的宣告來限制對資料的訪問，然後在服務實現中強制執行這些宣告。 透過新增此類宣告，我們實質上撤銷了所有預設訪問許可權，然後授予個人許可權。

本質上，authentication 負責驗證使用者的身份和提出的宣告，例如授予的角色和租戶成員資格，也就是說，揭示了誰使用該服務。 相反，authorization 控制認證後的使用者，如何根據授予的許可權與應用程式的資源進行互動。 由於訪問控制需要依賴經過驗證的宣告，因此Authentication 是 Authorization 的先決條件。

從 CAP 的角度來看，authentication 方法是可自由配置的，通常使用底層平臺的中央身份和身份驗證服務。 針對本地開發場景，CAP 內建了基於 mock 使用者的認證。

# Static User Claims

CDS 授權是模型驅動的。 這基本上意味著它將 CDS 模型元素的訪問規則繫結到使用者宣告。 例如，對服務或實體的訪問取決於使用者被分配的角色。 或者，甚至可以限制例項級別的訪問，例如，對建立例項的使用者進行訪問。

通用 CDS 授權建立在 CAP 使用者概念之上，CAP 使用者概念是由平臺的身份服務確定的具體使用者型別的抽象。 該設計決策使不同的身份驗證策略可插入通用 CDS 授權。

成功認證後，（CAP）使用者由以下屬性表示：

- 標識使用者的唯一（登入）名稱。 未命名的使用者有一個固定的名稱，例如`system`或 `anonymous`。
- 多租戶應用程式的租戶。
- 管理員授予使用者的角色或由身份驗證級別派生的角色。
- 使用者已由管理員分配的屬性。

# User Roles

作為訪問控制的基礎，您可以設計特定於應用程式的概念角色。 這樣的角色應該反映使用者如何與應用程式互動。 例如，供應商角色可以描述允許閱讀銷售文章和更新銷售資料的使用者。 相反，ProcurementManager 可以完全訪問銷售文章。 使用者可以擁有多個角色，這些角色由平臺授權管理解決方案中的管理使用者分配。

# Pseudo Roles

經常需要定義不是基於特定於應用程式的使用者角色，而是基於請求的身份驗證級別的訪問規則。 例如，一項服務不僅可以被識別的使用者訪問，而且還可以被匿名（例如，未經身份驗證的）使用者訪問。 此類角色稱為偽角色，因為它們不是由使用者管理員分配的，而是在執行時自動新增的。

CAP 當前支援以下預定義的偽角色：

- `authenticated-user` 指的是（已命名或未命名的）已提交有效身份驗證宣告（例如登入令牌）的使用者。
- `system-user` 表示用於技術交流的未命名使用者。
- `any` 是指所有使用者，包括匿名使用者（這意味著無需身份驗證的公共訪問）。

偽角色 `system-user` 允許將技術使用者的內部訪問與業務使用者的外部訪問分開。 技術使用者可以來自 SaaS 或 PaaS 租戶。 此類技術使用者請求通常以特權模式執行，對例項級別沒有任何限制。 例如，將資料複製到另一個系統的操作需要訪問訂閱的 SaaS 租戶的所有實體，並且不能暴露給任何業務使用者。 請注意，`system-user` 也意味著經過身份驗證的使用者。
預設情況下，CDS 服務沒有訪問控制。 因此，根據配置的身份驗證，CDS 服務最初對匿名使用者開放。 為了根據您的業務需求保護資源，您可以定義使執行時強制執行適當訪問控制的限制。 或者，您可以透過授權強制 API 新增自定義授權邏輯。

您可以透過在 CDS 模型中選擇適當的層次結構級別來影響限制的範圍。 例如，對 `Service` 級別的限制適用於服務中的所有實體。

使用 @readonly 或 @insertonly 註釋實體以靜態限制所有使用者允許的操作，如示例中所示：

```sql
entity my.bookshop.Addresses as projection on external.A_BusinessPartnerAddress {
  key AddressID as ID,
  key BusinessPartner as businessPartner,
  @readonly Country as country,
  @readonly CityName as city,
  @readonly PostalCode as postalCode,
  @readonly StreetName as street,
  @readonly HouseNumber as houseNumber,
  false as tombstone: Boolean
}
```
使用 @readonly 限制使用者對這些屬性進行操作：
![](https://img-blog.csdnimg.cn/img_convert/dbab5278324d292fa1f07928a7b36f0d.png)

SAP CDS entity 中使用 @readonly 進行訪問控制

相關文章