[Developer] #619 focus POC on KB VPD permissions

2026-07-07 16:02:22 +09:00
parent ef944a6758
commit 2ef04e6ab2
18 changed files with 1238 additions and 167 deletions
--- a/src/main/resources/mapper/PermissionMapper.xml
+++ b/src/main/resources/mapper/PermissionMapper.xml
@@ -66,7 +66,7 @@
    SELECT p.perm_id AS permission_id,
           r.role_id,
           r.role_name,
-           o.object_id,
+           NVL(o.object_id, -1) AS object_id,
           p.target_name AS object_name,
           p.action_name AS action,
           NVL(p.permission_effect, 'ALLOW') AS permission_effect,
@@ -93,27 +93,24 @@
                        WHEN pr2.rule_type = 'TAG' THEN 'REGEXP_LIKE(UPPER('
                          || NVL(pr2.rule_column, 'TECH_TAG')
                          || '), ''(^|,)' || REPLACE(UPPER(pr2.rule_value), '''', '''''') || '(,|$)'')'
-                        WHEN pr2.rule_type = 'STAKEHOLDER_SELF' AND pr2.rule_column = 'FC_ID' THEN
-                          '(SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_ROLE'') = ''' || NVL(pr2.rule_value, '[역할값 필요]') || ''' '
-                          || 'AND FC_ID = SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_USER_ID''))'
-                        WHEN pr2.rule_type = 'STAKEHOLDER_SELF' AND pr2.rule_column = 'USER_ID' THEN
-                          '(USER_ID = SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_USER_ID''))'
-                        WHEN pr2.rule_type = 'STAKEHOLDER_CHANNEL' AND pr2.rule_column = 'FC_CHANNEL' THEN
-                          '(SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_ROLE'') = ''' || NVL(pr2.rule_value, '[역할값 필요]') || ''' '
-                          || 'AND FC_CHANNEL = SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_CHANNEL''))'
-                        WHEN pr2.rule_type = 'STAKEHOLDER_SELF' THEN
+                        WHEN pr2.rule_type = 'TOKEN_SUBJECT' THEN
+                          pr2.rule_column || ' = SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_USER_ID'')'
+                        WHEN pr2.rule_type = 'OWN_CONTRACT' THEN
+                          pr2.rule_column || ' = SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_USER_ID'')'
+                        WHEN pr2.rule_type = 'CHANNEL_CONTRACT' THEN
+                          pr2.rule_column || ' = SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_CHANNEL'')'
+                        WHEN pr2.rule_type = 'OWN_CUSTOMER' THEN
                          'EXISTS (SELECT 1 FROM POC_2.KB_CONTRACTS c '
                          || 'WHERE c.' || pr2.rule_column || ' = [CURRENT_ROW].' || pr2.rule_column || ' '
-                          || 'AND SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_ROLE'') = ''' || NVL(pr2.rule_value, '[역할값 필요]') || ''' '
                          || 'AND c.FC_ID = SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_USER_ID''))'
-                        WHEN pr2.rule_type = 'STAKEHOLDER_CHANNEL' THEN
+                        WHEN pr2.rule_type = 'CHANNEL_CUSTOMER' THEN
                          'EXISTS (SELECT 1 FROM POC_2.KB_CONTRACTS c '
                          || 'WHERE c.' || pr2.rule_column || ' = [CURRENT_ROW].' || pr2.rule_column || ' '
-                          || 'AND SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_ROLE'') = ''' || NVL(pr2.rule_value, '[역할값 필요]') || ''' '
                          || 'AND c.FC_CHANNEL = SYS_CONTEXT(''CB_AGENT_CTX'', ''STAKEHOLDER_CHANNEL''))'
+                        WHEN pr2.rule_type = 'STATIC_SQL' THEN pr2.rule_value
                        ELSE pr2.rule_column || ' ' || pr2.rule_type || ' ' || pr2.rule_value
                      END,
-                      CHR(10) || 'OR '
+                      CHR(10) || 'AND '
                    ) WITHIN GROUP (ORDER BY pr2.rule_id)
             FROM cb_permission_rule pr2
             WHERE pr2.perm_id = p.perm_id
--- a/src/main/resources/static/js/app.js
+++ b/src/main/resources/static/js/app.js
@@ -388,8 +388,8 @@ function syncRuleTypeHints(root = document) {
    }

    const type = typeSelect.value;
-    const valueRequired = ['=', '!=', 'DEPT', 'EMP_NO', 'TAG', 'STAKEHOLDER_SELF', 'STAKEHOLDER_CHANNEL'].includes(type);
-    const columnOptional = ['ALL', 'MY_DEPT', 'SELF', 'DEPT', 'EMP_NO', 'TAG'].includes(type);
+    const valueRequired = ['=', '!=', 'DEPT', 'EMP_NO', 'TAG', 'STAKEHOLDER_SELF', 'STAKEHOLDER_CHANNEL', 'STATIC_SQL'].includes(type);
+    const columnOptional = ['ALL', 'MY_DEPT', 'SELF', 'DEPT', 'EMP_NO', 'TAG', 'STATIC_SQL'].includes(type);
    const placeholderByType = {
      ALL: '값 불필요',
      MY_DEPT: '값 불필요',
@@ -399,17 +399,30 @@ function syncRuleTypeHints(root = document) {
      TAG: '예: SPRING_BOOT',
      STAKEHOLDER_SELF: '예: 설계사',
      STAKEHOLDER_CHANNEL: '예: 지점장',
+      TOKEN_SUBJECT: '값 불필요',
+      OWN_CONTRACT: '값 불필요',
+      CHANNEL_CONTRACT: '값 불필요',
+      OWN_CUSTOMER: '값 불필요',
+      CHANNEL_CUSTOMER: '값 불필요',
+      STATIC_SQL: "예: CONTRACT_STATUS = '정상'",
      '=': '비교 값',
      '!=': '비교 값'
    };

    columnSelect.required = !columnOptional;
+    columnSelect.disabled = ['ALL', 'MY_DEPT', 'SELF', 'DEPT', 'EMP_NO', 'TAG', 'STATIC_SQL'].includes(type);
    valueInput.required = valueRequired;
-    valueInput.disabled = ['ALL', 'MY_DEPT', 'SELF'].includes(type);
+    valueInput.disabled = [
+      'ALL', 'MY_DEPT', 'SELF', 'TOKEN_SUBJECT', 'OWN_CONTRACT',
+      'CHANNEL_CONTRACT', 'OWN_CUSTOMER', 'CHANNEL_CUSTOMER'
+    ].includes(type);
    valueInput.placeholder = placeholderByType[type] || '비교 값';
    if (valueInput.disabled) {
      valueInput.value = '';
    }
+    if (columnSelect.disabled) {
+      columnSelect.value = '';
+    }
  });
 }

@@ -700,17 +713,29 @@ function collectWizardRules(root) {
      TAG: 'TECH_TAG',
      STAKEHOLDER_SELF: '선택 컬럼',
      STAKEHOLDER_CHANNEL: '선택 컬럼',
+      TOKEN_SUBJECT: '선택 컬럼',
+      OWN_CONTRACT: '선택 컬럼',
+      CHANNEL_CONTRACT: '선택 컬럼',
+      OWN_CUSTOMER: '선택 컬럼',
+      CHANNEL_CUSTOMER: '선택 컬럼',
+      STATIC_SQL: '',
      ALL: ''
    }[type] || '';
    if (type === 'ALL') {
      return 'ALL';
    }
+    if (type === 'STATIC_SQL') {
+      return `정적 SQL: ${value}`;
+    }
    if (['MY_DEPT', 'SELF'].includes(type)) {
      return `${displayColumn} ${type}`;
    }
    if (['STAKEHOLDER_SELF', 'STAKEHOLDER_CHANNEL'].includes(type)) {
      return `${displayColumn} ${type} 역할=${value}`;
    }
+    if (['TOKEN_SUBJECT', 'OWN_CONTRACT', 'CHANNEL_CONTRACT', 'OWN_CUSTOMER', 'CHANNEL_CUSTOMER'].includes(type)) {
+      return `${displayColumn} ${type}`;
+    }
    if (type === 'TAG') {
      return `${displayColumn} TAG ${value.toUpperCase()}`;
    }
@@ -731,11 +756,20 @@ function collectWizardPredicates(root) {
      TAG: 'TECH_TAG',
      STAKEHOLDER_SELF: '선택 컬럼',
      STAKEHOLDER_CHANNEL: '선택 컬럼',
+      TOKEN_SUBJECT: '선택 컬럼',
+      OWN_CONTRACT: '선택 컬럼',
+      CHANNEL_CONTRACT: '선택 컬럼',
+      OWN_CUSTOMER: '선택 컬럼',
+      CHANNEL_CUSTOMER: '선택 컬럼',
+      STATIC_SQL: '',
      ALL: ''
    }[type] || '';
    if (type === 'ALL') {
      return '1 = 1';
    }
+    if (type === 'STATIC_SQL') {
+      return value;
+    }
    if (type === 'MY_DEPT') {
      return `${displayColumn} = SYS_CONTEXT('CB_AGENT_CTX', 'DEPT_CODE')`;
    }
@@ -748,6 +782,21 @@ function collectWizardPredicates(root) {
    if (type === 'STAKEHOLDER_CHANNEL') {
      return `EXISTS (KB_CONTRACTS c: c.${displayColumn} = <현재행>.${displayColumn} AND TOKEN_ROLE = '${value}' AND c.FC_CHANNEL = TOKEN_CHANNEL)`;
    }
+    if (type === 'TOKEN_SUBJECT') {
+      return `${displayColumn} = SYS_CONTEXT('CB_AGENT_CTX', 'STAKEHOLDER_USER_ID')`;
+    }
+    if (type === 'OWN_CONTRACT') {
+      return `${displayColumn} = SYS_CONTEXT('CB_AGENT_CTX', 'STAKEHOLDER_USER_ID')`;
+    }
+    if (type === 'CHANNEL_CONTRACT') {
+      return `${displayColumn} = SYS_CONTEXT('CB_AGENT_CTX', 'STAKEHOLDER_CHANNEL')`;
+    }
+    if (type === 'OWN_CUSTOMER') {
+      return `${displayColumn} IN (SELECT CUST_ID FROM KB_CONTRACTS WHERE FC_ID = SYS_CONTEXT('CB_AGENT_CTX', 'STAKEHOLDER_USER_ID'))`;
+    }
+    if (type === 'CHANNEL_CUSTOMER') {
+      return `${displayColumn} IN (SELECT CUST_ID FROM KB_CONTRACTS WHERE FC_CHANNEL = SYS_CONTEXT('CB_AGENT_CTX', 'STAKEHOLDER_CHANNEL'))`;
+    }
    if (type === 'DEPT' || type === 'EMP_NO') {
      return `${displayColumn} = ${sqlLiteral(value)}`;
    }
@@ -794,8 +843,8 @@ function updatePermissionWizardPreview(root = document) {
      ? `거부 규칙: ${ruleText}`
      : `허용 규칙: ${ruleText}`;
  const predicateText = effect === 'DENY'
-      ? (rules.includes('ALL') ? 'DENY ALL: 1 = 0' : `DENY 후보: NOT (${predicates.join(' OR ') || '조건 없음'})`)
-      : `ALLOW 후보: ${predicates.join(' OR ') || '조건 없음'}`;
+      ? (rules.includes('ALL') ? 'DENY ALL: 1 = 0' : `DENY 후보: NOT (${predicates.join(' AND ') || '조건 없음'})`)
+      : `ALLOW 후보: ${predicates.join(' AND ') || '조건 없음'}`;
  const columnPolicy = visibleColumns
      ? `이 권한에서 원문 표시 허용: ${visibleColumns}`
      : '마스킹 대상 컬럼은 기본 정책대로 NULL/마스킹 처리';
@@ -872,19 +921,25 @@ function permissionWizardRuleValidationMessage(wizard) {
  if (values.some((rule) => rule.type === 'ALL') && values.length > 1) {
    return 'ALL 규칙은 다른 조건 규칙과 함께 저장할 수 없습니다. ALL만 남기거나 ALL을 삭제하세요.';
  }
-  const valueRequired = ['=', '!=', 'DEPT', 'EMP_NO', 'TAG', 'STAKEHOLDER_SELF', 'STAKEHOLDER_CHANNEL'];
+  const valueRequired = ['=', '!=', 'DEPT', 'EMP_NO', 'TAG', 'STAKEHOLDER_SELF', 'STAKEHOLDER_CHANNEL', 'STATIC_SQL'];
  const seen = new Set();
  for (const [index, rule] of values.entries()) {
    const position = index + 1;
    if (!rule.type) {
      return `${position}번째 행 규칙 유형을 선택하세요.`;
    }
-    if (['=', '!=', 'STAKEHOLDER_SELF', 'STAKEHOLDER_CHANNEL'].includes(rule.type) && !rule.column) {
+    if ([
+      '=', '!=', 'STAKEHOLDER_SELF', 'STAKEHOLDER_CHANNEL', 'TOKEN_SUBJECT',
+      'OWN_CONTRACT', 'CHANNEL_CONTRACT', 'OWN_CUSTOMER', 'CHANNEL_CUSTOMER'
+    ].includes(rule.type) && !rule.column) {
      return `${position}번째 ${rule.type} 규칙에는 비교할 컬럼이 필요합니다.`;
    }
    if (valueRequired.includes(rule.type) && !rule.value) {
      return `${position}번째 ${rule.type} 규칙의 값을 입력하세요.`;
    }
+    if (rule.type === 'STATIC_SQL' && rule.column) {
+      return `${position}번째 정적 SQL 조건은 컬럼을 따로 선택하지 마세요.`;
+    }
    if (rule.type === 'TAG' && rule.value && !/^[A-Za-z0-9_-]+$/.test(rule.value)) {
      return `${position}번째 TAG 값은 영문·숫자, '_' 또는 '-'만 사용할 수 있습니다.`;
    }
--- a/src/main/resources/templates/permissions.html
+++ b/src/main/resources/templates/permissions.html
@@ -8,7 +8,7 @@
    <h1>접근 규칙</h1>
    <details class="explanation-details">
      <summary>도움말</summary>
-      <p>VPD policy function이 참조할 사용자, 역할, 행 규칙, 컬럼 원문 허용 규칙을 저장합니다. KB 원장 예제는 토큰 주체에서 한 번 해석한 이해당사자 ID·역할·채널을 secure context로 사용하고, 대상 고객은 계약원장으로만 연결합니다. <code>STAKEHOLDER_SELF</code>와 <code>STAKEHOLDER_CHANNEL</code>은 각각의 역할 분기로 만들고 허용 분기끼리는 OR로 계산합니다.</p>
+      <p>VPD policy function이 참조할 사용자, 역할, 행 규칙, 컬럼 원문 허용 규칙을 저장합니다. KB 조건 코드는 토큰 context 값으로 치환되고, 정적 SQL 조건은 대상 객체의 WHERE 절에 그대로 추가됩니다. 한 권한의 규칙은 AND, 서로 다른 ALLOW 권한은 OR로 합치며 DENY는 허용 결과에서 제외합니다.</p>
    </details>
  </div>

@@ -154,31 +154,32 @@
          <div id="rowRuleList" class="rule-list">
            <div class="rule-row">
              <select class="form-select rule-column-select" name="ruleColumn">
-                <option value="">기본 컬럼</option>
-                <option value="DEPT_CODE">DEPT_CODE</option>
-                <option value="OWNER_EMP_NO">OWNER_EMP_NO</option>
-                <option value="DOC_ID">DOC_ID</option>
-                <option value="TITLE">TITLE</option>
+                <option value="">객체 컬럼 선택</option>
              </select>
              <select class="form-select rule-type-select" name="ruleType">
                <option value="ALL">ALL</option>
-                <option value="MY_DEPT">현재 사용자 부서</option>
-                <option value="SELF">현재 사용자 사번</option>
-                <option value="DEPT">지정 부서</option>
-                <option value="EMP_NO">지정 사번</option>
-                <option value="TAG">특정 기술 태그</option>
-                <option value="STAKEHOLDER_SELF">이해당사자 본인 담당</option>
-                <option value="STAKEHOLDER_CHANNEL">이해당사자 채널 범위</option>
-                <option value="=">=</option>
-                <option value="!=">!=</option>
+                <optgroup label="KB · 본인 범위">
+                  <option value="OWN_CONTRACT">본인 담당 계약</option>
+                  <option value="OWN_CUSTOMER">본인 담당 고객</option>
+                </optgroup>
+                <optgroup label="KB · 채널 범위">
+                  <option value="CHANNEL_CONTRACT">토큰 채널 계약</option>
+                  <option value="CHANNEL_CUSTOMER">토큰 채널 고객</option>
+                </optgroup>
+                <optgroup label="KB · 토큰 식별">
+                  <option value="TOKEN_SUBJECT">토큰 사용자 본인</option>
+                </optgroup>
+                <optgroup label="SQL · 정적 조건">
+                  <option value="STATIC_SQL">정적 SQL 조건식</option>
+                </optgroup>
              </select>
-              <input class="form-control" name="ruleValue" placeholder="비교 값">
+              <input class="form-control" name="ruleValue" maxlength="1000" placeholder="비교 값">
              <button class="btn btn-outline-secondary" type="button" data-rule-add>추가</button>
            </div>
          </div>
          <details class="explanation-details">
-            <summary>행 규칙과 기술 태그 OR 조건 보기</summary>
-            <p class="wizard-hint">특정 기술 태그는 기본적으로 <code>TECH_TAG</code> 컬럼을 봅니다. 같은 ALLOW 권한에 태그를 여러 개 추가하면 “태그 A 또는 태그 B”로 조회됩니다. 이해당사자 규칙은 <strong>비교 컬럼</strong>과 <strong>업무 역할값</strong>(예: 설계사, 지점장)을 모두 입력하세요. 토큰을 해석한 뒤 <code>STAKEHOLDER_USER_ID</code>·<code>STAKEHOLDER_ROLE</code>·<code>STAKEHOLDER_CHANNEL</code> context를 사용합니다. <code>STAKEHOLDER_SELF</code>은 <code>c.FC_ID = context 사용자</code>, <code>STAKEHOLDER_CHANNEL</code>은 <code>c.FC_CHANNEL = context 채널</code>이며 서로 다른 허용 규칙은 OR로 결합됩니다.</p>
+            <summary>행 규칙의 두 가지 적용 방식 보기</summary>
+            <p class="wizard-hint"><strong>조건 코드</strong>는 토큰 context로 치환됩니다. 예를 들어 <code>본인 담당 고객 / CUST_ID</code>는 계약원장에서 토큰 사용자 ID의 담당 고객을 찾아 현재 객체의 <code>CUST_ID</code>에 적용합니다. <strong>정적 SQL 조건식</strong>은 <code>CONTRACT_STATUS = '정상'</code>처럼 현재 객체 컬럼을 사용한 WHERE 절을 그대로 추가합니다. 한 권한 안의 규칙은 모두 AND로 좁혀지고, 서로 다른 역할의 ALLOW 권한은 OR로 합쳐집니다. 역할명은 VPD WHERE 절에 직접 들어가지 않습니다.</p>
          </details>
        </div>
      </div>
@@ -241,7 +242,7 @@

  <section class="content-band">
    <h2>접근 규칙 목록</h2>
-    <p class="section-subtitle">같은 보호 대상에 적용되는 ALLOW 역할 분기와 한 권한 안의 여러 행 규칙은 OR로 합칩니다. 예를 들어 설계사 본인계약 분기 또는 지점장 채널 분기 중 하나라도 성립하면 행이 허용됩니다. DENY 분기는 허용 결과에서 별도로 제외됩니다.</p>
+    <p class="section-subtitle">한 접근 규칙 안에서는 조건 코드와 정적 SQL 조건을 AND로 합쳐 범위를 좁힙니다. 같은 보호 대상의 서로 다른 ALLOW 권한은 OR, DENY 권한은 허용 결과에서 제외됩니다.</p>
    <div class="table-responsive">
      <table class="table table-sm align-middle permission-list-table">
        <thead>