Leer una política en Rego y en Cedar

En Rego, una política es un paquete con reglas. default permitir := false fija el valor cuando ninguna regla se cumple: sin eso, la respuesta quedaría indefinida y el que pregunta tendría que interpretarla. Una misma regla puede escribirse varias veces con el mismo nombre: cada definición es un camino alternativo, y basta con que una se cumpla. Dentro de cada definición, en cambio, todas las líneas tienen que cumplirse a la vez.

Hay un detalle que conviene tener presente desde ya: si una línea lee un dato que no viene en la entrada, esa línea no se cumple y la definición entera cae. En una regla que permite, eso termina en negar; más adelante verás qué pasa cuando la regla que depende del dato es la que prohíbe. Las reglas de Urunday llevan un título en su bloque de metadatos para poder citarlas.

Cedar escribe cada política como un permit o un forbid con un alcance —principal, acción y recurso— y condiciones opcionales en when (se tiene que cumplir) y unless (no se tiene que cumplir). La evaluación es fija: si se cumple algún forbid, la respuesta es negar; si no, y se cumple algún permit, es permitir; si no se cumple nada, es negar. Un forbid no se puede compensar con más permit.

Esa regla de combinación es lo que hace útiles las prohibiciones generales, como la que el piloto añade para un canal concreto. Lee la solicitud sol-1012 contra el borrador de Cedar.

Traducir una política de un lenguaje a otro es un cambio de política, aunque nadie lo llame así. La forma segura de revisarla es regla por regla: para cada definición del original, buscar su equivalente y comparar condición por condición. La que falta no da error: la política nueva compila, las pruebas que no miran esa condición pasan y la diferencia aparece el día que llega la solicitud que la necesitaba.

Compara la regla de pagos en las dos versiones.

unless dentro de un forbid es una excepción: la prohibición se aplica salvo cuando esa condición se cumple. Sirve para no bloquear lo que debe seguir funcionando siempre, como una acción de protección del propio socio. Pero una excepción no permite nada por sí sola: solo hace que la prohibición no aplique, y la solicitud necesita además un permit que se cumpla.