本文由@呆代待殆原创，转载请注明出处。
一、<Target>元素的结构
<Target>元素标识的父元素被用于评估决定请求。<Target>元素即可以做为<PolicySet>和<Policy>的子元素也可以做为<Rule>的子元素。
Target元素包含一个或多个<Anyof>元素，<Target>元素标准定义如下：
<AnyOf>元素包含一个或者多个<AllOf>元素,<AnyOf>元素的标准定义如下：
<AllOf>元素包含一个或者多个<Match>元素，<AllOf>元素的标准定义如下：
<Match>元素，就是<Target>的最里层了，<Match>元素定义如下：
可以看出，<Match>由MatchId属性、<AttributeValue>元素、<AttributeDesignator>元素、<AttributeSelector>元素组成。
MatchId：这个属性必须是“xs:anyURI”类型，并且要有合法值，定义了一个Match的匹配方法，注意，是方法，不要觉得名字里有Id就把他当成Match的标识。
<AttributeValue>：这个是嵌入的属性值。
<AttributeDesignator>：这个元素类似一个方法，能够用于验证一个或多个属性值，这些属性值来自request上下文的一个<Attributes>元素，会返回一个bag用于MatchId指明的方法。
<AttributeSelector>：这个元素类似一个方法，能够用于验证一个或多个属性值，这些属性值来自请求上下文的一个<Content>元素，会返回一个bag用于MatchId指明的方法。
二、有关于Target的评估
<Match>的返回值由内部的方法决定，（细节这里暂时忽略）返回值有True、False、Indeterminate
Match与AllOf
<AllOf>的返回值有：Match、No Match、Indeterminate
如果<AllOf>里所有的<Match>都返回true，则<AllOf>返回Match
如果没有Fasle 且至少有一个Indeterminate，则<AllOf>返回Indeterminate
如果至少有一个False，则<AllOf>返回NO match
如下表：
AllOf与AnyOf
<AnyOf>的返回值有：Match、No Match、Indeterminate
如果<AnyOf>里面至少有一个<AllOf>返回Match，则<AnyOf>返回Match
如果没有Match且至少有一个Indeterminate，则<AnyOf>返回Indeterminate
如果<AnyOf>里面所有的<AllOf>都返回No match，则<Anyof>返回No Match
如下表：
AnyOf与Target
<Target>的返回值有：Match、No Match、Indeterminate
注意：空Target可以匹配任何请求！！！
如果<Target>里面所有<AnyOf>都返回Match，则<Target>返回Match
如果至少有一个<AnyOf>返回了No Match，则<Target>返回No Match
其他情况都返回，Indeterminate
如下表：
参考资料：
[1] http://docs.oasis-open.org/xacml/3.0/xacml-3.0-core-spec-os-en.html#_Toc325047147