这一篇是系列的收尾也是笔者思考最纠结的一篇。前三篇的结论基本都是框架够用别乱折腾但有一类系统例外当权限点从几百个涨到几万个、当一条策略变更要同时发六个服务、当审计方开始问这个人为什么能看这条数据、依据是哪条策略权限框架这套每个应用自己判断一遍的形态就开始撑不住了。这时候要搬的不是代码是决策权*。也就是把 PDPPolicy Decision Point从每个应用里抽出来或者把策略求值挪到进程内的一个库里让业务代码只保留 PEP。***这一篇讲三条路线各自的真实成本、Java 侧能用的官方 SDK 到什么程度这部分网上二手信息最多笔者逐条核到了 Maven Central 和仓库元数据、PDP 挂了到底 fail-open 还是 fail-closed以及从框架迁到外置授权的灰度办法。最后给整个系列的总结。1. 先给判据什么时候框架内授权真的不够用了大多数团队是在改一次策略要发一次版的时候才痛。可以按四个维度自评维度框架内够用该考虑外置策略变更频率每月个位数次跟着需求发版每周多次运营/风控要自助改权限点规模千级以内注解 角色表能穷举万级出现角色 × 对象类型 × 动作组合跨服务复用每个服务自己一套判断重复但局部同一条规则要在 5 个服务里保持一致可解释性要求出问题看代码要能回答依据哪条策略、为什么命中对照第一篇的模型视角这个转变的本质是框架内授权 → 策略写死在代码/注解里权限点是程序的常量 Java 侧典型形态PreAuthorize / RequiresPermissions / StpUtil.checkPermission 外置授权 → 策略是数据运行时求值可独立版本化、独立测试、独立发布 代价多一跳网络或引入一个库、缓存一致性问题、新 DSL 学习曲线SP 800-162 早就给出了这个转变的理由值得再抄一次ACL/RBAC 也能达成 ABAC 的目标但要证明访问控制需求被满足会因抽象层次问题而困难且昂贵而且一旦访问控制需求变化很难找出 ACL/RBAC 实现中所有需要跟着更新的位置。来源反过来也要说清楚如果你只有角色-菜单-按钮三层外置授权是自找麻烦。笔者见过的失败案例里一半是把 200 个权限点搬进图数据库之后每次改一个字段名要走双人评审。2. 概念先归位PEP / PDP 分离到底分离了什么第一篇给过这张表这里落到工程位置请求 → [PEP 拦截] → [PDP 求值] → 放行/拒绝 ↑ ↑ 你的代码里 可以在这三种位置 ① 同进程的一个库jCasbin ② 独立服务OpenFGA / SpiceDB / Cerbos / OPA ③ 身份平台自带Keycloak Authorization Services / CasdoorOPA 官方的表述最干净“OPA decouples policy decision-making from policy enforcement”并且强调它可以作为sidecar、host-level daemon 或 library与你的服务同置设计哲学是策略以声明式指定、随时更新而无需重编译或重新部署。来源1 来源2这三条正好对应上面三种位置也正是第 3 节的分类轴。把这条链路画出来左边是一次请求真实走过的五步、每步右上角标着它要不要走网络右边是 PDP 能坐的三种位置3. 三条路线与 Java 侧的客观现状3.1 一张对比表版本均为 2026-09-29 核实路线代表服务端最新版Java 侧集成传输模型进程内库jCasbin—org.casbin:jcasbin最新稳定版1.99.02026-02-12无网络调用ACL/RBAC/ABAC 等配置化模型独立 PDP关系型OpenFGAv1.21.02026-09-20dev.openfga:openfga-sdk0.10.12026-09-21自述为自动生成 SDKHTTP/RESTZanzibar 元组 DSL独立 PDP关系型SpiceDBv1.56.22026-09-11com.authzed.api:authzed1.6.02026-05-26官方列为 official client librarygRPCSchema Language Caveats独立 PDP文档型策略Cerbosv0.55.02026-08-13dev.cerbos:cerbos-sdk-java0.20.12026-08-14gRPC / HTTP-JSONYAML 策略 Principal/Resource/Role/Scoped Policy通用策略引擎OPA—Java 侧常用 REST/SDK 调用本次未核实官方 Java SDK 状态HTTP / gRPCRego领域无关身份平台内置Keycloak / Casdoor26.7.4 / v4.11.02026-09-26官方 adapter / Java 客户端标准协议UMA PEP/PDP来源1 来源2 来源3 来源4 来源5 来源6 来源7 来源8 来源9 来源103.2 核实过程中值得单独说的四件事这部分是笔者逐条从仓库和 Maven 元数据里挖的网上二手文章基本没提一、OpenFGA 的 Java SDK 不是 gRPC而且它自己写着自动生成。README 原文是This is anautogenerated Java SDKfor OpenFGA. It provides a wrapper around the OpenFGA API definition并且API Executor providesdirect HTTP accessto OpenFGA endpoints not yet wrapped by the SDK。最低JDK 17内置符合RFC 9110的重试默认自动重试失败请求最多 3 次上限 15支持Retry-After支持 OAuth2 client credentials参数apiTokenIssuer、apiAudience、scopes。来源对 Java 团队的含义OpenFGA 走 HTTPSpiceDB 走 gRPC。选 OpenFGA 就没有 gRPC 依赖与 proto 版本地狱但也拿不到 gRPC 的连接复用与流式这在做 PDP 调用治理时是真实差别。二、jCasbin 的 Mavenrelease字段是坑。元数据里release指向1.100.0-snapshot.3——即中央仓库把一个 snapshot 命名的版本当作 release 暴露出来。选版本不能只看release要按发布时间挑 1.99.02026-02-12这类正式版。同时 1.97.0 / 1.98.0 / 1.99.0 都在 2026-02-12 发布、1.100.0 snapshot 系列在 2026-06-16 发布说明代码层面仍在维护。来源三、Casbin 已经进 Apache 孵化器官网域名变了。Apache Incubator 项目列表里的条目是Casbin … Incubator (Zili Chen) … 2026-02-07状态 Incubatorhttps://casbin.org/现在返回301 →https://casbin.apache.org/首页多处标注 “Incubating”。引用 Casbin 文档要用新域名。本次抓取casbin.apache.org/docs/jcasbin/overview返回 404所以jCasbin 支持的模型清单、持久化 adapter 列表、是否有官方 Spring Boot starter 这三项未核实正文不作断言。来源1 来源2四、CNCF 状态经常被写错。可核对的事实是OpenFGA2022-09-14 入选 CNCF、2025-10-28 升为 Incubating来源OPA2018-03-29 入选、2019-04-02 Incubating、2021-01-29 Graduated来源而Cerbos 不在 CNCF 项目列表内官方项目页 404来源。Cerbos 的 Java SDK 仓库最近一次 push 是 2026-09-28、未归档但GitHub 上没有 release tag版本号要从 Maven 元数据看star 数也只有 12——这不是不活跃的证据但意味着 Java 侧问题大概率要自己读源码。来源把上面这些坐标、版本和坑摊进同一张表选型时真正要看的就是这四列4. 建模这一层选图还是选策略语言搬出应用之后第一个撞墙的问题不是性能是模型表达。两条路差别很大关系路线ReBAC先建 namespace再写元组最后 Check OpenFGA: define viewer: [user, domain#member] or writer or viewer from parent_folder SpiceDB: definition document { relation owner → user | definition org#member relation viewer → user | org#member | owner via parent } 策略路线ABAC/PBAC写一份文档化的 permit/deny 规则运行时按属性求值 Cerbos: resource rulesactions condition principal/role/scoped policy Cedar: permit(principal Team::a-team, action Action::view, resource Photo::x) when { ... } unless { ... };来源1 来源2 来源3 来源4三个必须搞对的语义点一、Cedar 是默认拒绝且显式 forbid 优先。官方规则原文“如果至少一条匹配策略为 Allow 且恰好零条为 Deny整体结果才是 Allow。”两条原则是空策略集的默认结果是implicit deny与任一策略的显式 Deny 总是覆盖其它策略的 Allow。同一页还给出模型映射只有 scope、没有附加条件的策略可作为 RBAC 方案的一部分带条件的策略可作为 ABAC 方案的一部分。来源 别按 XACML 的习惯假设 permit 能压过 deny。二、纯关系模型表达不了属性条件所以要认清那个补丁的名字。SpiceDB 叫Caveats可命名、附着到关系上的布尔表达式官方称用于建模ABAC 风格决策OpenFGA 叫Conditions用 Google CEL 写表达式。来源1 来源2 一旦你的规则里出现工作时间之外禁止导出就是在用这两个补丁——这也是ReBAC 项目最后长出半个 ABAC的原因。三、数据权限可以由 PDP 生成行过滤条件而且这不是新技巧。OPA 有专门用例页 “Data Filtering with OPA”示例正是只能看本部门数据员工表按department过滤官方说明 “OPA can be used to derive the needed SQL filter at run time, leveraging OPA’s partial evaluation”。来源 这条链把第四篇的分工讲全了RLS/VPD 解决由谁强制执行PDP 解决由谁决策两者常组合PDP 出谓词 → DAO 拼进 SQL → DB 再用 RLS 兜底。Cerbos 在这条路上更直接它的决策 API 就是CheckResources与PlanResources——后者用来生成这次查询应该带什么过滤条件天然是给数据权限用的。来源至于 Keycloak它的授权服务把模型建成PEP/PDP策略类型包含 Role / Group / User / Client /Time/ Regex / JavaScript 等并对齐UMA规范——本质是RBAC 属性条件 用户自主授权的混合体适合身份平台顺带做授权不适合以授权为核心能力的中台。来源5. 性能与可用性三件必须提前设计的事5.1 每一跳都要算钱一次业务请求 认证(JWT 本地验签无网络) 授权(PDP 一次调用HTTP/gRPC) 业务本身有个官方依据可以先用在正确的地方Spring Security 的资源服务器默认本地验签 JWT不需要每请求调用授权服务器而用 token introspection 就是每请求一次网络调用。来源 换句话说认证这一跳本来就可以不要网络加了外置 PDP 之后授权这一跳是净新增延迟别两头都上远程调用。工程上能压住延迟的两件事OpenFGA SDK 侧有可核实的实现内置 HTTP 重试默认 3 次、上限 15、遵守Retry-After以及把批量决策合并成一次调用BatchCheck类接口本次未核实其官方配置细节用前自查。5.2 缓存能缓存什么不能缓存什么可以核实的官方事实只有一条对设计有用Cerbos PDP 自述为 stateless“stateless, AuthZEN-compliant”。来源无状态意味着决策结果的缓存 key 可以安全地由principal action resource context组成——这是缓存决策结果而不是缓存关系图这条通行做法的依据。但具体缓存配置项本次未能核实OpenFGA / SpiceDB / Cerbos 的官方文档里关于 “Check API 结果缓存 / ListObjects 缓存 / request coalescing / 缓存失效” 的章节内容没有命中多个openfga.dev/docs/*路径返回 404 或重定向。所以不要照抄别人的配置名比如openfga.check_cache_ttl这类字符串本次无法验证存在。笔者建议的缓存口径工程判断非规范缓存 → 决策结果permit/deny 过期时间TTL 秒级绝不无限期 不缓存 → 关系图本身、策略文本 失效 → 写关系/改策略时 bump 一个全局 epochkey 里带 epoch 兜底 → TTL 到期重新求值宁可让 PDP 多挨几次查询别把 deny 缓存成 permit5.3 fail-open 还是 fail-closed只有一个官方硬依据OWASP 的授权备忘单把必须做决定写成前提“即使没有任何访问控制规则被显式匹配当实体请求访问某个资源时应用也无法保持中立。应用必须始终无论隐式还是显式做出决定拒绝或允许所请求的访问。”并据此要求在初始开发阶段以及应用暴露新功能或新资源时都采用 deny-by-default 的心态。 来源按这条原则PDP 不可用时默认应 fail-closed。至于低风险只读接口允许 fail-open 告警 自动收敛那是组织内策略没有官方条款支持写成我们的取舍而不是规范要求。同样地本次未找到OpenFGA / SpiceDB / Cerbos 官方文档关于PDP 不可用时集成层默认行为的表述——这必须自己测别猜。还有一条与可用性直接相关的PDP 是新的单点。上一篇第四篇的结论在这里同样适用——不要指望任何单一控制做全部授权DB 层的 RLS 兜底在引入 PDP 之后依然值得保留因为 PDP 挂了或者谓词生成错了它都能接住。6. 灰度迁移框架内 → 外置以及框架之间6.1 先纠正三个流行说法调研这一段时笔者推翻了几个网上常见的事实值得写在前面流行说法核实结果“有官方的 Shiro → Spring Security 迁移指南”没有。shiro.apache.org 的相关页 404Spring Security 参考文档的 migration 目录只覆盖自身版本迁移来源“Shiro 已经停摆/进 Attic”不成立。最新 release3.0.1官网新闻区 2026 年有Aug 24 - 3.0.1 available、“Jun 29 - 3.0.0 available”以及 2026-04-29 的Apache Shiro: A New Chapter Driven by CommunityShiro 未进入 Apache Attic来源“影子校验shadow compare是标准做法有规范依据”没有官方定义。OWASP、Spring Security、OpenFGA/SpiceDB/Cerbos 文档中均未检索到该术语的定义性段落只能作为工程实践表述6.2 大版本迁移的官方经验先用旧版本提前打开新行为Spring Security 自己的 7.0 迁移指南给出的方法值得学因为它是同一套灰度思路的官方版本“Spring Security6.5 是 6.x 代的最后一个 release。它提供了在升级到 7.0 之前就把破坏性变更配置成 7.0 行为的策略。我们建议你使用 6.5 及其准备步骤来简化向 7.0 的升级。”并且官方承认需要回滚窗口准备指南里含退回 5.x 行为的 opt-out 步骤。第一步是确保你在Spring Boot 4.0的最新补丁版本上。来源对做权限迁移的人来说最实用的一条是Jackson 2 → Jackson 3 的序列化变更SecurityJackson2Modules改为SecurityJacksonModules改配JsonMapper.Builder并且 “spring-security-oauth2-authorization-server现在默认使用 Jackson 3”。来源 这类变更对存在 Redis 里的会话/认证对象序列化是真实踩坑点——旧数据可能读不出来而它在开发环境完全不出现因为你的 Redis 是干净的。6.3 笔者建议的外置化灰度顺序以下四步是工程实践总结无逐字官方背书但每一步都有官方原则作支撑① 先测不改把现有判断结果打成结构化日志who / on-what / decision / matched-rule 依据OWASP Create tests that validate that the permissions mapped out in the design phase are being correctly enforced方法论引 WSTG 4.5 与 ASVS ② 影子运行新引擎只做记录、不做裁决对比两边 diff 率设阈值再切流 注意权限点重命名要留映射表 双写不要指望名字能一一对应 ③ 逐路由切按接口/服务粒度切裁决权灰度期绝不依赖框架默认值 依据OWASP explicit configuration should be preferred over relying on framework or library defaults. The logic and defaults of third-party code may evolve over time, without the developers full knowledge ④ 收尾兜底老路径变成 assert-only 二次校验同时保留 DB 层 RLS 依据deny-by-default defense in depth来源 来源把这四步画成一条时间轴每个节点上面是这一步做什么、下面是它的依据与注意网关这一层的配套事实第三篇会详细讲这里只点与外置有关的两条Spring Cloud Gateway 当前 release 线是 5.0.32026-08-20文档已按spring-cloud-gateway-server-webflux/-webmvc分家TokenRelay过滤器有个官方明写生产坑——“TokenRelayGatewayFilterFactory使用的ReactiveOAuth2AuthorizedClientService默认实现用的是内存数据存储如果你需要更稳妥的方案就得自己提供实现”依赖spring-boot-starter-oauth2-clientForwarded/XForwarded的采信由spring.cloud.gateway.server.webflux.trusted-proxies正则定义。来源1 来源2内存实现意味着多副本网关下 token 状态不共享滚动发布即丢失刷新会重复触发。这是网关统一鉴权最常被忽略的一条官方警告。Q要不要自建授权中台笔者的判断标准是能不能承受养一门策略语言选择适合不适合直接用 OpenFGA / SpiceDB关系复杂组织树、共享、租户层级规则里大量数值/时间/风控条件用 Cerbos / Cedar 类策略引擎策略文档化、可评审、要 CI 里跑测试不愿接受 YAML/DSL 学习曲线用 Keycloak / Casdoor 内置授权已经选了它做身份平台授权需求不复杂把授权当核心能力演进自建中台有明确合规要求、多业务线复用、能长期投入只有权限点太多这一个理由7. 系列总结五篇压缩成一页第 1 篇模型 ACL → RBAC → ABAC → ReBAC先选模型再选框架 第 2 篇测评 Spring Security / Shiro / Sa-Token认证强≠授权强架构决定天花板 第 3 篇实战 JWT 无状态落地认证尽量本地做授权必须每请求做 第 4 篇实战 数据权限AST 重写 DB 层兜底别用字符串拼 SQL 第 5 篇实战 授权外置PDP 搬出应用代价是一跳网络 一门策略语言 一个单点是否要上外置授权判据不是我们是大厂是四个数字策略变更频率、权限点规模、复用服务数、审计要求。四项都低就别上。真要走这条路的推荐组合笔者倾向工程判断jCasbin 起步 → 关系复杂度上来后引入 OpenFGA/SpiceDB → 策略文本要能被评审和 CI 测试则考虑 Cerbos/Cedar → 全程保留 DB 层 RLS 兜底。Java 团队选型时最容易忽略的一点先看 SDK 再看引擎。OpenFGA 是自动生成 HTTP SDK、SpiceDB 是官方 gRPC、Cerbos 的 Java 仓库连 release tag 都没有、jCasbin 的 Mavenrelease字段会骗人——这些比功能矩阵更能决定你能不能落地。可审计性是最终的分水岭。无论哪种路线上线前必须能回答两件事“依据哪条策略放行了这次请求”以及这个人现在到底能看哪些数据。前者靠结构化决策日志后者靠 SP 800-162 说的那种事前审计能力——而 ABAC 类系统的官方评价是它可能不太适合高效地做这类审计。这就是为什么默认拒绝 关系可枚举在治理上比表达式很强更值钱。对后端/架构岗笔者个人更关注权限系统的新增单点有没有被算进可用性目标策略变更有没有像代码一样走评审与测试以及——迁移完成后老的那套判断是不是真的删掉了。留着以防万一的旧路径是最常见的一次灰度变两次事故。一句收尾这一系列写下来笔者对Java 权限框架的看法变得更朴素了——框架解决的是别把鉴权写重复模型解决的是别把权限写散而数据权限和外置授权解决的是别把权限写漏。三者层次不同越往下越是治理问题而不是技术问题。参考资料 致谢[1] NIST SP 800-162《Guide to Attribute Based Access Control (ABAC)》[2] OWASP Authorization Cheat Sheetdeny-by-default、显式配置优于框架默认、集中失败处理、测试闭环[3] OWASP WSTG v4.2Authorization Testing[4] OpenFGA 官方仓库与 releasesv1.21.0, 2026-09-20 openfga/java-sdkautogenerated、HTTP、JDK 17、RFC 9110 重试 openfga-sdk Maven 元数据[5] OpenFGA 文档Configuration Language Conceptsstore / tuple / Condition / CEL[6] CNCF 项目页OpenFGAIncubating, 2025-10-28 OPAGraduated, 2021-01-29 Cerbos官方项目页 404非 CNCF 项目[7] AuthzedOfficial Client Libraries含 Java authzed Maven 元数据 SpiceDB Schema Caveats[8] Cerbos 文档stateless AuthZEN-compliant PDP、CheckResources / PlanResources、策略类型 cerbos-sdk-java 仓库 Maven 元数据[9] Apache Incubator 项目列表Casbin2026-02-07 Casbin 新官网 casbin.apache.org jCasbin Maven 元数据[10] AWS Cedar 策略语法implicit deny、显式 Deny 覆盖 Allow、RBAC/ABAC 定位[11] OPA 文档首页decouple decision/enforcement、sidecar/daemon/library Philosophy Data Filtering with OPApartial evaluation 生成 SQL 过滤[12] Keycloak Authorization Services 指南PEP/PDP、策略类型、UMA Keycloak releases[13] Casdoor releasesv4.11.0, 2026-09-26[14] Apache Shiro 官网新闻3.0.1 / 3.0.0 / “A New Chapter Driven by Community”[15] Spring Security 参考Migrating to 7.06.5 准备策略、opt-out、Jackson 2→3、Boot 4.0 前置[16] Spring Security 参考OAuth2 Resource Server — JWT默认本地验签 vs introspection[17] Spring Cloud Gateway 参考TokenRelay Factory内存实现警告 HttpHeadersFilterstrusted-proxies[18] PostgreSQL 文档Row Security Policies Oracle 19cVirtual Private Database
