AWS SDK for .NET 中 IAM 策略解析的回归问题分析

在 AWS SDK for .NET 4.x 版本中，我们发现了一个关于 IAM 策略解析的重要回归问题。这个问题影响了 Policy.FromJson 方法对 Principal 字段的正确解析，导致某些合法的 IAM 策略无法被正确处理。

问题背景

IAM 策略是 AWS 中控制资源访问权限的核心机制。根据 AWS 官方文档，IAM 策略中的 Principal 字段可以接受三种形式：

1. 对象形式（如 {"AWS": "arn:aws:iam::123456789012:root"}）
2. 数组形式（如 {"AWS": ["arn1", "arn2"]}）
3. 字符串形式（如 "*" 表示匿名用户）

在 AWS SDK for .NET 3.x 版本中，JsonPolicyReader 类能够正确处理所有这些形式。然而，在迁移到 4.x 版本并使用 System.Text.Json 后，解析逻辑出现了退化。

技术细节分析

问题的核心在于 JsonPolicyReader.convertPrincipals() 方法的实现变更。让我们对比新旧版本的差异：

3.x 版本的实现逻辑：

1. 首先检查是否为对象类型
2. 然后检查是否为数组类型
3. 最后检查是否为字符串类型（处理匿名用户情况）

4.x 版本的实现逻辑：

1. 直接遍历对象的属性
2. 对每个属性值检查是否为字符串类型
3. 如果是字符串且值为"*"，则标记为匿名用户
4. 否则创建新的 Principal 对象

这种变更导致了两个主要问题：

1. 对象形式的 Principal 被错误处理
2. 创建的 Principal 对象没有被正确添加到语句中

影响范围

这个问题会影响所有使用 Policy.FromJson 方法解析以下类型 IAM 策略的场景：

• 包含对象形式 Principal 的策略
• 包含多个 Principal 的策略
• 包含匿名用户 Principal 的策略

解决方案

AWS SDK 团队已经修复了这个问题，并在 4.0.6.0 版本中发布。修复方案包括：

1. 移除了对字符串"*"的特殊处理
2. 确保所有创建的 Principal 对象都被正确添加到语句中
3. 完善了数组形式 Principal 的处理逻辑

最佳实践

为避免类似问题，建议开发人员：

1. 在升级 SDK 版本时，全面测试 IAM 策略相关的功能
2. 为策略解析逻辑编写单元测试，覆盖各种 Principal 形式
3. 关注 AWS SDK 的发布说明，及时了解重大变更

总结

这个问题展示了在 JSON 序列化/反序列化库迁移过程中可能遇到的兼容性问题。AWS SDK for .NET 团队快速响应并修复了这个问题，确保了与 IAM 策略规范的兼容性。开发人员应确保使用 4.0.6.0 或更高版本以获得正确的策略解析行为。