使用MarkLogic的REST API设置文档权限

Question

我试图使用其他api指定MarkLogic 6数据库中文档的权限。

这是我正在发送的权限元数据（permissions.xml）：

<rapi:metadata xmlns:rapi="http://marklogic.com/rest-api"
     xmlns:prop="http://marklogic.com/xdmp/property">
    <rapi:permissions>
        <rapi:permission>
            <rapi:role-name>arole</rapi:role-name>
            <rapi:capability>update</rapi:capability>
        </rapi:permission>
        <rapi:permission>
            <rapi:role-name>brole</rapi:role-name>
            <rapi:capability>read</rapi:capability>
        </rapi:permission>
    </rapi:permissions>
</rapi:metadata>

使用以下命令：

curl --anyauth --user user:pass -X PUT -T permissions.xml \
    -H "Content-type: application/xml" \
    "http://localhost:8003/v1/documents?uri=/test/test.xml&category=permissions"

当我事后查看权限时，我看到：

arole (update)
brole (read)
rest-reader (read)
rest-writer (update)

我希望它只拥有arole和brole的权限。

留档表示："如果未显式设置任何权限，则使用MarkLogic REST API创建的文档具有对其余读取器角色的读取权限和对其余写入器角色的更新权限。"（是的，我知道，这个例子不会创建一个新文档。但是如果我添加一个新文档并同时通过其余api使用一个多部分内容元数据消息设置权限，它也会做同样的事情）。

使用相同的用户和数据库，通过直接xquery调用（例如xdmp:document insertwith permissions）设置权限，效果与预期相同。

如何防止RESTAPI添加这些额外权限？

编辑：

MarkLogic有一张票，我还不知道目标日期或版本。

如果其他人遇到这种情况，他们确实给了我一个解决办法：创建新角色（或更改现有角色），并给他们rest reader和/或rest writer“执行”权限，而不是让他们继承rest reader/rest writer角色，或让用户直接分配rest reader/rest writer角色。

Answer 1

通过REST（而非对文档的通用访问）实现访问的最简单方法是创建自定义角色，您可以将这些角色分配给用户以代替内置角色。如果需要，向该角色添加默认读/写权限（这样您就不必指定每个文档插入的权限），以及希望该角色具有的REST执行权限(http://marklogic.com/xdmp/privileges/rest-writer, http://marklogic.com/xdmp/privileges/rest-reader)。不要将rest reader或rest writer内置角色分配给自定义角色，只分配执行权限。

然后，自定义角色将能够使用所有RESTendpoint，但不能对通过REST接口创建的所有文档进行通用访问。搜索和文档获取请求将仅返回自定义角色有权访问的文档，并且它们将无法修改其角色没有更新权限的文档。

Answer 2

内部函数docmodupd:write permissions始终将输入权限与xdmp:default permissions的输出相结合。它这样做是为了确保rest-reader可以读取文档，而rest-writer可以更新文档。据我所知，没有API来控制这种行为。

如果您有省略这些额外权限的强大用例，请与支持人员联系。