الخلاصة

  • تقترح مسودة Capability Language Core الفردية، المؤرخة في 27 سبتمبر، التمييز بين allow_unresolved وبين السماح الصريح حين يبقى شرط معترف به بلا تقييم.
  • تنتقل مسؤولية حسم الشروط إلى الجهة التي تطبّق القرار؛ واتفاق ثلاث برمجيات وضعها المؤلف نفسه لا يثبت تحققاً مستقلاً من قابلية التشغيل البيني.

قد تحمل صلاحية الوكيل عبارة واضحة: نفّذ العملية من شبكة محددة وخلال نافذة زمنية معينة. يستطيع محرّك القواعد أن يقرأ العبارة، لكنه قد لا يملك صورة الشبكة الحية أو قاعدة الساعة المعتمدة في بيئة التنفيذ. تحويل هذه الحالة إلى «اسمح» يمحو نصف التفويض. المسودة التي قدّمها Jijie Wei تريد أن تمنع ضياع ذلك النصف بإعطائه اسماً مستقلاً في واجهة القرار.

نُشرت draft-wei-capability-language-core-00 في 27 سبتمبر 2026 بوصفها Internet-Draft فردية، مع حالة مستهدفة Experimental. يسجلها Datatracker في مرحلة I-D Exists وينبّه إلى أن تقديمها الفردي لا يمنحها وضعاً رسمياً في مسار معايير IETF. ليست RFC، ولا دليلاً على اعتماد مجموعة عمل أو انتشار استخدام. نطاق الاقتراح هو لغة مشتركة لتسمية القدرات، وفحص ما إذا كانت المنحة تغطي عملية بعينها، وتقاطع المنح، وإخراج قرار ذي أسباب ثابتة.

في القسم 8.4 تظهر النقطة الخبرية. شرط الوقت أو الشبكة الذي تتعرف النواة إلى صيغته ولا تملك في الإصدار الأول أداة لتقييمه يجب ألا يُسقط. يبقى في قائمة unresolved وتخرج النتيجة allow_unresolved لا allow. هذه ليست ملاحظة هامشية على موافقة نافذة. تشترط المسودة على مستهلك القرار، سواء كان نقطة إنفاذ أو ملفاً يعرّف القاعدة، تأكيد كل شرط متبقٍ قبل السماح. وإذا تعذر التأكيد فالنتيجة رفض. وجود شرطين يعني وجوب حسمهما معاً، لا الاكتفاء بأول نتيجة مريحة.

ثم يحدد القسم 8.5 وظيفة Resolve. ترجع الجهة المستهلكة لكل شرط حالة «متحقق» أو «منتهك» أو «مجهول»، وتعيد النواة بناء القرار. هذه آلية للتغذية الراجعة، لا جهاز قياس للشبكة ولا إثبات مستقل لصحة ساعة أو سلطة الجهة التي وضعت الحد. وإذا اختصر موصل قديم القيم الثلاث إلى «رفض» و«كل ما عداه سماح»، فسيُفرغ التمييز الجديد من معناه عند باب التنفيذ. هذا احتمال تصميمي نستنتجه من النص، وليس تقريراً عن حادثة أو ثغرة في منتج قائم.

تضع المسودة حدوداً لما لا تعالجه: نموذج الثقة في مصدر المنحة، والتحقق من التوقيع أو الوسيط الأصلي، ودورة تنفيذ العملية، وصيغة الإيصال أو الرمز. يعرّف RFC 9396 بالفعل حقل authorization_details لطلبات OAuth المفصلة؛ وتذكره مسودة CLC مثالاً ممكناً لحمل بياناتها، لا امتداداً معتمداً فيه. معرفة معنى الإذن لا تثبت هوية مصدره، ولا أن الفعل نُفذ كما وُصف.

تورد المسودة 123 متجه اختبار و1184 حالة خصائص لقسم التفويض، وتقول إن تطبيقات Go وPython وTypeScript نجحت فيها. لكنها تنسب التطبيقات الثلاثة إلى مؤلف مشترك، وتعترف بأن هذا اختبار اتساق للنص لا تحقق مستقل. عتبة تطبيقين مستقلين لم تُستوفَ، مع أن الوثيقة تعرض CLC-A فئة أساسية؛ ولا تدّعي نضج فئة الأدلة CLC-E. الأرقام مهمة لفهم ما اختُبر، لا لإعلان توافق معياري لم يتحقق.

المصادر