3. Rego 语言基础（一）：Rego 语法入门、变量、标量、复合值、引用与表达式

Rego 是 OPA 的策略语言，专为在复杂 JSON/YAML 数据中表达断言而设计。它并非通用编程语言，而是一种声明式查询语言。理解 Rego 的语法基础，是编写日志访问控制策略的第一步。本章将带你掌握 Rego 的核心词法单元与基本数据类型。

3.1 Rego 语法入门：声明式与逻辑编程

Rego 的语法深受 Datalog 和 Prolog 影响，其核心思想是：你定义“规则”（Rule），OPA 引擎负责“查询”（Query）并返回结果。在日志访问控制场景中，规则通常描述“谁在什么条件下可以访问哪些日志”。

一个最简单的 Rego 规则结构如下：

# 规则定义
allow = true {                     # 规则头：规则名 = 值
    input.user == "admin"          # 规则体：条件表达式
    input.action == "read"         # 条件之间是 AND 关系
}

# 查询
result = allow with input as {"user": "admin", "action": "read"}
# 输出: result = true

3.2 变量（Variables）

Rego 中的变量以大写字母或下划线开头。变量用于绑定数据，并在规则体内传递值。变量一旦绑定，在同一个规则体内不可重新赋值（不可变）。

3.3 标量（Scalars）与复合值（Composite Values）

Rego 支持所有常见的 JSON 数据类型，并在此基础上扩展了集合（Set）。

3.3.1 标量类型

3.3.2 复合值类型

3.4 引用（References）

引用用于访问嵌套在对象或数组中的数据。引用使用点号（.）或方括号（[]）进行导航。

• 点号访问： input.user.name 等价于 input["user"]["name"]
• 方括号访问： 支持变量作为键，如 input[Key]
• 数组索引： data.logs[0] 访问第一个日志条目
• 迭代访问： 使用变量遍历数组或集合，如 data.logs[i]

# 示例数据
input := {
    "user": "bob",
    "action": "delete",
    "target": {
        "namespace": "production",
        "resource": "pod"
    }
}

# 引用示例
user_name := input.user                     # "bob"
namespace := input.target.namespace         # "production"
action := input["action"]                   # "delete"

# 使用变量作为键
Key := "target"
target_obj := input[Key]                    # {"namespace": "production", "resource": "pod"}

3.5 表达式（Expressions）

表达式是规则体的基本组成单元。每个表达式必须求值为 true，规则体才成立。常见的表达式类型包括：

3.6 知识结构图：Rego 基础语法全景

下图展示了 Rego 基础语法中各元素之间的关系，以及它们在日志访问控制策略中的典型应用位置。

3.7 实战示例：日志访问控制中的基础语法

将上述语法应用于一个简单的日志访问控制场景：只允许 admin 角色的用户读取 production 命名空间的日志。

# 输入数据
input := {
    "user": "alice",
    "role": "admin",
    "action": "read",
    "log": {
        "namespace": "production",
        "level": "error",
        "message": "Out of memory"
    }
}

# 策略规则
default allow = false

allow = true {
    input.role == "admin"                    # 比较表达式
    input.action == "read"                   # 比较表达式
    input.log.namespace == "production"      # 引用 + 比较
}

# 更灵活的版本：使用变量和成员关系
allowed_roles := {"admin", "supervisor"}     # 集合
allowed_namespaces := ["production", "staging"]  # 数组

allow = true {
    Role := input.role                       # 变量赋值
    Role in allowed_roles                    # 成员关系表达式
    input.action == "read"
    input.log.namespace in allowed_namespaces # 成员关系表达式
}