Truy hồi có phân quyền, hay cách để không rò rỉ bảng lương

Một trợ lý index tất cả và trả lời tất cả mọi người thực chất là một sự cố rò rỉ dữ liệu có kèm giao diện chat.

Lọc ngay trong truy vấn, không lọc sau

Lấy các đoạn điểm cao rồi mới bỏ đi những gì người dùng không được xem trông có vẻ tương đương, nhưng không phải. Nó rò rỉ qua số lượng kết quả, qua độ trễ, và qua đúng khoảnh khắc ai đó quên bước lọc hậu kỳ ở một endpoint mới. Phạm vi quyền phải nằm ngay trong truy vấn vector.

Mang theo ACL của hệ thống nguồn

Phần lớn tài liệu đã có chủ sở hữu và phạm vi người xem ở hệ thống gốc. Hãy nạp thông tin đó cùng với nội dung và đồng bộ liên tục — một file được chuyển vào thư mục hạn chế phải biến mất khỏi truy hồi ở lần đồng bộ kế tiếp, chứ không phải chờ lần re-index sau.

Kiểm tra lại tại thời điểm trả lời

Quyền thay đổi giữa lúc nạp dữ liệu và lúc câu hỏi được đặt ra. Phép kiểm tra có ý nghĩa là phép kiểm tra tại thời điểm truy vấn, dựa trên chủ thể phân giải từ phiên đăng nhập — không bao giờ dựa trên định danh do client gửi lên.

Ghi log định danh, đừng ghi nội dung

Vết kiểm toán cần biết ai hỏi, đã truy hồi những gì và trích dẫn nguồn nào. Nó không cần nội dung đoạn văn, và lưu nội dung sẽ biến kho log thành bản sao thứ hai của dữ liệu nhạy cảm.