Cerbos 规则表更新机制问题分析

问题背景

在Cerbos项目中，规则表(Rule Table)作为策略执行的核心组件，负责管理和应用访问控制策略。近期发现了一个关键问题：当底层存储中的策略发生变化时，规则表未能正确更新其内部状态。

问题本质

该问题主要涉及两个方面：

1. 事件订阅机制不完善：规则表未能正确订阅所有可订阅存储的事件通知，导致无法及时感知策略变更。

2. 删除策略处理缺陷：当策略被删除时，规则表尝试加载已不存在的策略来获取其详细信息，这显然无法正常工作。此外，删除操作需要完整的策略标识信息(FQN、版本和范围)，但在策略文件已被删除的情况下，这些信息已不可获取。

技术细节分析

事件订阅机制

原始实现中，规则表仅订阅了部分存储的事件通知。实际上，无论存储是否被标记为"可变"(Mutable)，规则表都应订阅所有可订阅存储的事件。这是因为：

• 即使是标记为不可变的存储(如磁盘、Git、Blob存储)，其内容也可能通过外部方式(如直接修改文件)发生变化
• 项目中的"MutableStore"命名可能不够准确，因为其他存储方式也支持间接修改

编译策略的特殊处理

对于源码存储(Source Stores)，简单的存储订阅机制无法满足需求，因为：

• 规则表处理的是已编译的策略
• 需要确保在策略编译完成后才能获取新版本
• 解决方案是使编译管理器(CompileManager)也支持订阅机制

删除操作的挑战

删除策略时的特殊挑战包括：

1. 无法加载已删除的策略获取其元数据
2. 删除操作需要完整的策略标识信息
3. 文件系统只能检测到文件缺失，无法提供足够上下文

解决方案方向

要彻底解决这个问题，需要考虑：

1. 完善事件订阅机制：确保规则表订阅所有相关事件源，包括编译管理器
2. 改进删除处理逻辑：在删除事件中携带足够元数据，避免依赖后续查询
3. 增强一致性保证：确保在各种存储后端上都能正确感知变更

总结

Cerbos规则表的更新机制问题揭示了在复杂策略管理系统中的常见挑战：如何在各种变更场景下保持内部状态的一致性。通过深入分析事件订阅机制和特殊操作处理，我们可以构建更健壮的策略执行引擎，为细粒度访问控制提供可靠基础。