4. Rego策略语言入门：语法基础、规则定义、匹配与迭代、内置函数、测试策略

Rego 是 OPA 的原生策略语言，专为在复杂 JSON/YAML 数据上表达声明式策略而设计。理解 Rego 的核心概念是编写合规校验规则的前提。本节将系统讲解 Rego 的语法基础、规则定义方式、数据匹配与迭代机制、常用内置函数以及策略测试方法。

4.1 Rego 语法基础

Rego 是一种声明式查询语言，其核心思想是：策略即代码。Rego 文件通常以 .rego 为后缀，每个文件属于一个 包（package）。

4.2 规则定义

规则是 Rego 策略的基本单元。规则分为 完整规则 和 部分规则，以及 默认规则。

4.2.1 完整规则

完整规则返回一个单一的布尔值或标量。当规则体中的所有表达式都为真时，规则为真。

package example

# 完整规则：判断环境是否为生产环境
is_production {
  input.environment == "prod"
}

# 完整规则：判断镜像标签是否包含版本号
has_version_tag {
  contains(input.image, ":")
}

4.2.2 部分规则

部分规则返回一个集合或对象，可以带参数。常用于生成可迭代的数据结构。

package example

# 部分规则：返回所有允许的命名空间列表
allowed_namespaces = ["default", "kube-system", "production"]

# 部分规则：返回禁止的容器镜像前缀
blocked_image_prefixes = {"docker.io/private/", "gcr.io/internal/"}

# 带参数的部分规则：判断某个命名空间是否在允许列表中
namespace_allowed(ns) {
  ns == allowed_namespaces[_]
}

4.2.3 默认规则

使用 default 关键字为规则设置默认值，避免规则未定义时产生未定义结果。

package example

# 默认规则：默认允许通过
default allow = true

# 实际拒绝规则：当违反条件时覆盖默认值
allow = false {
  input.request.operation == "DELETE"
  input.request.object.metadata.namespace == "kube-system"
}

4.3 匹配与迭代

Rego 通过 表达式匹配 和 迭代 机制处理集合数据。这是 Rego 最强大的特性之一。

4.3.1 数组/集合迭代

使用 some 关键字或匿名变量 _ 遍历数组或集合。

package example

# 使用 some 迭代数组
has_privileged_container {
  some i
  input.containers[i].securityContext.privileged == true
}

# 使用匿名变量 _ 迭代集合
uses_blocked_registry {
  input.image = blocked_image_prefixes[_]
}

4.3.2 对象迭代

遍历对象的键值对，使用 some k, v 语法。

package example

# 检查所有标签是否包含 required 前缀
all_labels_have_prefix {
  some key, value
  input.metadata.labels[key] = value
  startswith(key, "app.kubernetes.io/")
}

4.3.3 复合条件匹配

Rego 允许在一条规则中组合多个条件，所有条件必须同时满足。

package example

# 拒绝：在非生产命名空间中创建特权容器
deny[msg] {
  input.request.operation == "CREATE"
  input.request.object.metadata.namespace != "production"
  some i
  input.request.object.spec.containers[i].securityContext.privileged == true
  msg = sprintf("命名空间 %v 不允许创建特权容器", [input.request.object.metadata.namespace])
}

4.4 内置函数

Rego 提供了丰富的内置函数，用于字符串处理、正则匹配、集合操作、时间比较等。以下是 Operator 发布合规校验中最常用的内置函数。

4.5 测试策略

OPA 提供了 opa test 命令，支持对 Rego 策略进行单元测试和集成测试。测试文件通常以 _test.rego 结尾。

4.5.1 测试规则结构

测试规则以 test_ 开头，使用 input 模拟请求数据，通过断言验证策略输出。

package example_test

import data.example

# 测试：生产环境允许创建 Deployment
test_prod_deployment_allowed {
  input := {
    "request": {
      "operation": "CREATE",
      "object": {
        "metadata": {
          "namespace": "production",
          "name": "web-app"
        },
        "spec": {
          "containers": [{"image": "nginx:1.21"}]
        }
      }
    }
  }
  example.allow == true with input as input
}

# 测试：非生产环境拒绝特权容器
test_nonprod_privileged_denied {
  input := {
    "request": {
      "operation": "CREATE",
      "object": {
        "metadata": {"namespace": "staging"},
        "spec": {
          "containers": [{
            "image": "nginx:1.21",
            "securityContext": {"privileged": true}
          }]
        }
      }
    }
  }
  count(example.deny) > 0 with input as input
}

4.5.2 测试执行与覆盖率

使用 opa test 命令运行测试，支持覆盖率报告。

# 运行所有测试
opa test ./policies/ -v

# 运行测试并生成覆盖率报告
opa test ./policies/ --coverage --format=json

# 输出示例
# PASS: 3/3
# coverage: 85.7% of statements

4.5.3 测试最佳实践

• 边界覆盖：为每个规则编写至少一个通过用例和一个拒绝用例。
• 数据模拟：使用完整的 input 结构，模拟真实的 AdmissionReview 请求。
• 负面测试：测试缺失字段、空数组、null 值等异常输入。
• 集成测试：结合 data.mock 模拟外部数据源（如 OPA Bundle 中的参考数据）。
• 持续集成：将 opa test 集成到 CI 流水线，确保策略变更不破坏现有规则。

4.6 本章小结