Node.js如何实现z/OS RACF Mock2Image模拟与权限拓扑图生成？

在大型机安全策略落地过程中，RACF（资源访问控制设施）的访问规则通常只能在z/OS环境里通过命令或面板进行验证。对于本地开发、自动化测试以及生成审计文档来说，缺少一套轻量的模拟与可视化工具会明显拖慢节奏。本文基于Node.js实现一个RACF Mock2Image模块，把用户、组、资源定义解析为内存模型，执行贴近RACF语义的授权判断，并输出SVG权限拓扑图，方便在非主机环境中快速验证配置和生成文档。

RACF权限模型与Mock2Image的边界

RACF的核心对象包括用户、组、资源类和资源配置文件。用户可以被直接授权，也可以通过组间接获得访问权限；资源配置文件里通常有一个通用访问权限UACC，表示未显式列出时的默认权限。真实RACF还涉及安全标签、类激活、程序和数据集保护等复杂机制，而Mock2Image只聚焦于最常用的访问控制部分：用户、组、资源、访问列表和UACC。

访问级别从低到高通常为NONE、READ、UPDATE、CONTROL和ALTER。RACF的授权判断并不是简单的相等比较，而是检查用户是否持有足够覆盖请求级别的权限。例如用户对资源拥有UPDATE权限，那么请求READ和UPDATE都会被允许，但请求ALTER会被拒绝。在模拟时还需要处理组嵌套，即一个组可以是另一个组的成员，用户通过多级组继承权限。

Mock2Image的设计边界很明确：不连接真实SAF接口，不执行RACF命令，输入采用JSON或YAML格式的简化配置，输出为SVG权限关系图。这样既能保证本地测试的独立性，也能让配置版本化管理。对于安全审计场景，生成的拓扑图可以直接嵌入报告，提升可读性。

{
  "users": [
    { "id": "ALICE", "groups": ["DEV"] },
    { "id": "BOB", "groups": [] }
  ],
  "groups": [
    { "id": "DEV", "members": ["ALICE"] },
    { "id": "OPS", "members": ["DEV"] }
  ],
  "resources": [
    {
      "name": "APP1",
      "class": "APPL",
      "uacc": "NONE",
      "accessList": [
        { "subject": "DEV", "access": "UPDATE" }
      ]
    }
  ]
}

上述配置描述了一个典型场景：用户ALICE属于DEV组，DEV组又属于OPS组；资源APP1的UACC为NONE，访问列表中只给DEV组授予了UPDATE权限。接下来需要让Node.js解析这个结构，并回答类似ALICE能否更新APP1、BOB能否读取APP1这样的问题。

解析RACF配置并实现权限检查引擎

首先定义一个精简的配置结构，读取后构建Map索引。用户和组都用对象表示，资源按名称和类分组。解析函数需要递归展开组成员关系，避免循环引用导致死循环。可以使用深度优先搜索配合已访问集合来收集某个用户的全部直接或间接组。

权限检查的核心逻辑如下：输入用户标识、资源名、访问级别，先查找资源定义，然后遍历访问列表。若访问列表中存在该用户或其所属组，则返回该条目允许的权限是否覆盖请求级别；若都不匹配，则回退到UACC。RACF没有显式拒绝机制，因此未命中访问列表时直接使用资源默认权限。

const accessRank = { NONE: 0, READ: 1, UPDATE: 2, CONTROL: 3, ALTER: 4 };

function isAccessSufficient(granted, requested) {
  return accessRank[granted] >= accessRank[requested];
}

function expandGroups(userId, userMap, groupMap) {
  const result = new Set();
  const visited = new Set();
  const queue = [];
  const user = userMap.get(userId);
  if (user) {
    user.groups.forEach(g => queue.push(g));
  }
  while (queue.length > 0) {
    const groupId = queue.shift();
    if (visited.has(groupId)) continue;
    visited.add(groupId);
    result.add(groupId);
    const group = groupMap.get(groupId);
    if (group) {
      group.members.forEach(member => {
        if (groupMap.has(member)) queue.push(member);
      });
    }
  }
  return result;
}

function checkAccess(userId, resourceName, requestedAccess, context) {
  const resource = context.resourceMap.get(resourceName);
  if (!resource) return false;
  const userGroups = expandGroups(userId, context.userMap, context.groupMap);
  for (const entry of resource.accessList) {
    if (entry.subject === userId || userGroups.has(entry.subject)) {
      return isAccessSufficient(entry.access, requestedAccess);
    }
  }
  return isAccessSufficient(resource.uacc, requestedAccess);
}

这段代码用rank值比较替代位掩码判断，逻辑简单直观。expandGroups通过队列遍历组成员，并把用户自身也纳入候选主体。需要注意，如果访问列表中某个组只拥有READ权限，而请求的是UPDATE，则不能因为该组存在就返回true，必须继续检查其他条目。真实RACF中访问列表可能包含多个主体，取最高权限作为最终结果。

在实际项目中，配置往往来自外部文件或数据库，解析部分可以扩展为读取JSON、YAML甚至从RACF命令输出中抽取。为了让权限判断更接近真实语义，还可以增加通配符资源名支持，例如APP*匹配所有以APP开头的资源，这可以通过把资源名转换为正则表达式实现。

从内存模型生成SVG权限拓扑图

图像生成是整个Mock2Image的另一个关键能力。选择SVG是因为它不需要二进制依赖，Node.js可以直接拼接字符串生成，并能被浏览器或文档工具渲染。节点分为用户、组、资源三类，用不同颜色区分；连线表示授权关系或组归属关系。计算节点坐标时可以采用分层布局：左侧放置用户和组，右侧放置资源，中间连线。

每个节点绘制一个矩形和文本标签，颜色可以体现节点类型：用户用蓝色、组用绿色、资源用橙色。如果某个用户对资源的访问被拒绝，可以使用虚线连接并标注拒绝标识。生成后的SVG文件可以直接在浏览器中打开，也可以嵌入HTML报告。

function buildSvg(context) {
  const parts = [];
  parts.push('<svg width="800" height="600" xmlns="http://www.w3.org/2000/svg">');
  parts.push('<rect width="800" height="600" fill="#f7f9fc" />');
  let y = 50;
  for (const user of context.users) {
    parts.push('<rect x="40" y="' + y + '" width="120" height="36" rx="6" fill="#4a90d9" />');
    parts.push('<text x="100" y="' + (y + 23) + '" text-anchor="middle" fill="#fff" font-size="14">' + user.id + '</text>');
    y += 60;
  }
  for (const group of context.groups) {
    parts.push('<rect x="40" y="' + y + '" width="120" height="36" rx="6" fill="#5cb85c" />');
    parts.push('<text x="100" y="' + (y + 23) + '" text-anchor="middle" fill="#fff" font-size="14">' + group.id + '</text>');
    y += 60;
  }
  let rx = 45;
  for (const resource of context.resources) {
    parts.push('<rect x="620" y="' + rx + '" width="130" height="36" rx="6" fill="#f0ad4e" />');
    parts.push('<text x="685" y="' + (rx + 23) + '" text-anchor="middle" fill="#333" font-size="13">' + resource.name + '</text>');
    rx += 62;
  }
  parts.push('</svg>');
  return parts.join('\n');
}

这段代码使用了最简单的字符串拼接方式生成SVG。节点位置按固定间距排列，如果需要更复杂的布局，可以引入第三方库计算坐标，但核心思想不变：把模型中的对象映射为图形元素，把关系映射为连线。SVG的文本元素需要做XML转义，避免用户ID中出现特殊字符破坏结构。

对于更正式的审计文档，还可以把SVG转成PNG。Node.js下可以使用sharp或canvas库完成转换，但如果只是嵌入网页或Markdown报告，保留SVG格式即可，因为SVG支持无限缩放且文件体积小。

完整示例与审计输出

把解析器、权限引擎和SVG生成组合起来，模拟一个典型场景：开发组DEV对应用资源APP1拥有UPDATE权限，普通用户BOB没有任何访问列表条目，资源UACC为NONE。执行checkAccess后，ALICE通过DEV组更新成功，BOB则被拒绝。最后生成SVG展示该权限关系。

const rawConfig = {
  users: [
    { id: 'ALICE', groups: ['DEV'] },
    { id: 'BOB', groups: [] }
  ],
  groups: [
    { id: 'DEV', members: ['ALICE'] },
    { id: 'OPS', members: ['DEV'] }
  ],
  resources: [
    {
      name: 'APP1',
      class: 'APPL',
      uacc: 'NONE',
      accessList: [
        { subject: 'DEV', access: 'UPDATE' }
      ]
    }
  ]
};

const context = buildContext(rawConfig);
const aliceCanUpdate = checkAccess('ALICE', 'APP1', 'UPDATE', context);
const bobCanRead = checkAccess('BOB', 'APP1', 'READ', context);
console.log('ALICE UPDATE APP1:', aliceCanUpdate);
console.log('BOB READ APP1:', bobCanRead);
const svg = buildSvg(context);
require('fs').writeFileSync('racf-topology.svg', svg, 'utf8');

运行这段脚本后，控制台会输出ALICE的请求为true，BOB的请求为false。同时当前目录下会生成racf-topology.svg文件，打开后可以看到ALICE、DEV组和APP1资源之间的授权连接，BOB节点则独立存在。这个结果可以直接用于测试用例断言，也可以作为审计报告的附图。

后续扩展可以考虑增加RACF风格的掩码判断、支持通配符资源名、把结果输出为JSON报告或DOT格式，也可以用Express把模拟器包装成HTTP服务供测试环境调用。对于需要在CI流水线中验证主frame安全策略的团队来说，这套轻量实现能显著减少等待真实主机环境的时间。

Node.jsz/OS RACFMock2Image修改时间：2026-08-23 14:57:56