外部行业实践 ·
HubSpot基于规则引擎架构重构JITA授权系统提升决策透明度
HubSpot为解决原有即时访问（JITA）授权系统依赖复杂嵌入式条件逻辑导致的决策难解释、问题难定位等问题，采用规则引擎架构对系统进行重构，通过有向无环图组织独立授权规则，配套可观测、故障隔离、双轨验证、定期审查等机制，实现了授权决策的可评估、可监控与可审查，有效提升了决策透明度。
仅供行业学习与场景参考，不代表优秘交付、客户关系或效果承诺。
面临的问题
原有JITA授权系统采用嵌入式条件逻辑，随着访问场景不断增加，逻辑复杂度持续提升，工程师无法快速定位访问请求被批准或拒绝的原因，也难以识别导致处理延迟的具体检查项，决策透明度不足，运维难度大。
AI 落地做法
采用规则引擎架构重构JITA授权系统，将授权策略拆解为独立规则通过有向无环图组织评估，配套通用上下文对象统一数据输入、规则级可观测、隔离规则执行、新旧系统并行验证、定期规则审查等机制，提升授权决策的可观测性与可解释性。
实施路径
- 将授权策略作为独立规则，通过有向无环图（DAG）进行组织和评估，每条规则生成包含评估结果、执行时间、决策元数据的结构化输出
- 采用通用上下文对象分离共享请求数据与单个授权规则，统一各项授权检查的数据输入，减少重复数据检索
- 引入规则层面的可观测能力，支持度量整体授权请求情况，也可查询单个规则的执行时间、失败情况和执行结果
- 采用隔离的规则执行机制，单条规则执行出错时记录错误并继续评估其他规则，不影响整体访问决策流程
- 迁移阶段采用新旧授权系统并行运行的方案，比对决策结果无误后再将生产环境的授权请求路由至新系统
- 建立由安全、产品、运维相关方参与的定期审查机制，评估规则范围是否合理、是否与访问需求匹配
来源：InfoQ 中文（本站改写摘要，成效数据均取自原文）
项目背景
HubSpot的JITA授权系统服务约10000名员工，每个工作日处理约5500次访问请求，随着新访问场景不断引入，原有系统的弊端逐渐显现，企业对访问决策的可观测性和可解释性提出了更高要求。 本案例依据「InfoQ 中文」公开发布的信息整理，原文：https://www.infoq.cn/article/S2WFg2MRuLmZE1s27lf8?utm_source=rss&utm_medium=article
业务问题
原有JITA授权系统采用嵌入式条件逻辑，随着访问场景不断增加，逻辑复杂度持续提升，工程师无法快速定位访问请求被批准或拒绝的原因，也难以识别导致处理延迟的具体检查项，决策透明度不足，运维难度大。
实践方案
采用规则引擎架构重构JITA授权系统，将授权策略拆解为独立规则通过有向无环图组织评估，配套通用上下文对象统一数据输入、规则级可观测、隔离规则执行、新旧系统并行验证、定期规则审查等机制，提升授权决策的可观测性与可解释性。
原始来源：https://www.infoq.cn/article/S2WFg2MRuLmZE1s27lf8?utm_source=rss&utm_medium=article