TorchV知识库安全解决方案：基于智能环境感知的动态权限控制

graph TD
    A[访问请求] --> B[环境感知层];
    B --> C[策略决策层];
    C --> D[数据标签层];
    D --> E[审计分析层];
    
    subgraph Environment Sensing
        B1[IP检测器]
        B2[请求头分析器]
        B3[网络环境识别]
        B4[（预留）设备指纹]
    end
    
    subgraph Policy Engine
        C1[策略加载与解析]
        C2[策略优先级排序]
        C3[策略条件判断]
        C4[决策结果输出]
    end
    
    subgraph Data Labeling
        D1[自动标签继承]
        D2[手动标签管理]
        D3[标签传播策略]
    end
    
    subgraph Audit & Analysis
        E1[访问日志记录]
        E2[风险行为分析]
        E3[安全态势看板]
    end
    
    B1 & B2 & B3 & B4 --> B;
    C1 & C2 & C3 & C4 --> C;
    D1 & D2 & D3 --> D;
    E1 & E2 & E3 --> E;

// 简化的策略检查核心逻辑
public boolean checkAccess(DataAccessRequest request) {
    // 1. 获取数据实体上绑定的所有安全组
    List<SecurityGroup> groups = labelService.getSecurityGroups(request.getDataId());
    
    // 2. 遍历所有安全组，按策略范围（ALL/ANY）进行校验
    for (SecurityGroup group : groups) {
        List<Policy> enabledPolicies = group.getEnabledPolicies();
        boolean groupResult = group.getScope() == PolicyScope.ALL ? 
            checkAllPolicies(enabledPolicies, request) : // 全部满足
            checkAnyPolicies(enabledPolicies, request);  // 任一满足
            
        if (!groupResult) {
            auditLog.warn("安全组校验失败: {}", group.getCode());
            return false;
        }
    }
    return true;
}

private boolean checkAllPolicies(List<Policy> policies, DataAccessRequest request) {
    for (Policy policy : policies) {
        if (!policyEvaluator.evaluate(policy, request)) {
            return false; // 有一条策略不满足即失败
        }
    }
    return true;
}

/**
 * 获取知识库页面详情
 * 该方法被@SecurityCheck注解修饰，会在执行前自动进行权限校验
 */
@SecurityCheck(
    dataType = DataType.KB_PAGE,  // 数据类型
    dataIdParam = "pageId",       // 参数中包含数据ID的参数名
    operations = {"READ"}          // 执行的操作类型
)
@GetMapping("/v1/page/{pageId}")
public Result<PageVO> getPageDetail(@PathVariable String pageId) {
    // 业务逻辑：只有通过安全检查的请求才会执行到此
    PageVO page = pageService.getDetailById(pageId);
    return Result.success(page);
}