属性SDN = SDN网络架构 + ABAC基于属性访问控制深度融合，业内简称AB-SDN。
传统SDN仅靠五元组、MAC、端口、VLAN这类网络层静态标识生成流表；而属性SDN把“属性”作为权限决策的核心依据，将终端、用户、环境、操作的多维属性统一采集到SDN控制器，由控制器做属性逻辑判断后，动态生成、下发细粒度OpenFlow/P4流规则，实现全网动态访问控制。
属性 所有用于鉴权的描述信息都叫属性，分为四大类（完全适配IIoT运维PC访问PLC场景） 1. 主体属性（谁在访问）运维账号ID、PC证书、MAC、IP、设备SN、角色、终端健康状态​2. 客体属性（访问谁）PLC编号、PLC网段、Modbus 502端口、工艺分区、设备安全等级​3. 环境属性（在什么条件下访问）当前时间、接入位置（内网/远程VPN）、网络区域、控制器在线状态、设备在线时长​4. 操作属性（要做什么操作）Modbus读寄存器、写参数、固件升级、端口扫描、上传采集数据 二、属性SDN整体工作机制（对应运维PC访问PLC）

1. 属性采集层SDN交换机、IoT网关、工控业务平台（MES/SCADA）持续采集四类属性，实时上报控制器；
2. 属性库存储控制器维护全局属性数据库，保存所有IIoT设备、运维人员的属性清单；
3. ​属性策略决策引擎（核心）管理员配置属性逻辑规则（例：仅内网运维主机+工作时段+仅Modbus读操作 才可访问指定PLC）；当流量触发PacketIn时，引擎匹配当前所有属性，判断允许/拒绝；
4. ​策略转译流表控制器把通过属性校验的逻辑，翻译成OpenFlow/P4底层流表下发至交换机；​
5. 数据面执行交换机根据流表放行、阻断、限流流量；属性一旦变更，控制器毫秒级更新流表。
   三、传统SDN vs 属性SDN 关键区别 1. 传统基础SDN（仅五元组ACL） - 鉴权依据：IP、MAC、端口、VLAN，纯网络标识；​- 权限特性：静态绑定，IP不变权限不变；​- 短板：无法区分“人、时间、操作类型”。举例：写一条固定流表：允许192.168.10.100访问192.168.20.10:502。
   缺陷：下班19点依然能访问；既可以读参数，也能篡改PLC写指令；该IP被木马劫持后可随意操作工控设备。 2. 属性SDN（AB-SDN） - 鉴权依据：主体+客体+环境+操作多维属性；​- 权限特性：动态、条件式授权，任一属性改变权限立即失效；举例属性规则：主体=备案运维PC & 环境=8:00-18:00内网接入 & 客体=目标PLC 502端口 & 操作=Modbus读功能码 → 允许访问；其余任意条件不满足直接阻断。
   优势：下班自动收回权限；拦截所有写PLC指令；终端异常后属性更新，立刻拉黑隔离。