4. Rego语言入门（二）：引用、规则定义、完整规则与部分规则、默认规则

在上一节中，我们掌握了 Rego 的基本语法、标量值与复合值。本节将深入 Rego 的策略核心：引用（References）、规则定义（Rule Definitions），以及两种关键的规则形态——完整规则（Complete Rules）与部分规则（Partial Rules），最后学习默认规则（Default Rules）的声明方式。这些概念是编写 OPA 策略的基石。

4.1 引用（References）

引用是 Rego 中访问嵌套数据的路径表达式，类似于 JSON 或 YAML 中的路径导航。OPA 通过引用从输入的 input 文档或 data 文档中提取值。

4.1.1 点式引用与方括号引用

4.1.2 变量引用与迭代

引用中可以包含变量，实现动态路径访问和集合迭代：

# 输入数据
input = {
  "users": [
    {"name": "alice", "role": "admin"},
    {"name": "bob", "role": "developer"}
  ]
}

# 使用变量迭代
user_roles[user.role] {
  user := input.users[_]   # _ 表示通配索引，遍历所有元素
}

# 结果：["admin", "developer"]

4.2 规则定义（Rule Definitions）

规则是 Rego 策略的基本单元，用于定义决策逻辑。每条规则由一个头部（Head）和一个主体（Body）组成。

4.2.1 规则结构

# 规则头部：定义规则名称和输出
rule_name := output_value {
  # 规则主体：条件表达式（可包含多个条件）
  condition_1
  condition_2
  # ... 所有条件必须同时为真（逻辑与）
}

• 头部：rule_name := expression，定义规则名和返回的表达式值。
• 主体：花括号内的条件集合，每个条件占一行，条件之间是逻辑与（AND）关系。
• 赋值操作符：:= 用于局部变量赋值；= 用于统一（Unification），在旧版 Rego 中常见，新版推荐使用 :=。

4.2.2 规则类型对比

4.3 完整规则（Complete Rules）

完整规则返回一个单一值。当规则主体中的所有条件都满足时，规则被定义为该值；否则规则为未定义（undefined）。

4.3.1 布尔决策规则

# 判断构建产物是否允许部署
allow_deploy := true {
  input.artifact.vulnerability_level == "low"
  input.artifact.license_compliance == true
}

# 使用：allow_deploy 返回 true 或 undefined

4.3.2 计算规则

# 计算安全评分（0-100）
security_score := score {
  base := 100
  deductions := input.findings * 10
  score := base - deductions
  score >= 0
}

# 如果 deductions 超过 100，规则未定义

4.4 部分规则（Partial Rules）

部分规则生成一个键值对集合。规则头部包含一个键变量，主体中的每个成功绑定都会向集合中添加一个条目。

4.4.1 生成允许列表

# 定义允许部署的镜像列表
allowed_images[image] {
  image := input.images[_]
  image.registry == "trusted-registry.io"
  image.scan_status == "passed"
}

# 结果示例：
# {
#   "nginx:1.21": true,
#   "redis:6.2": true
# }

4.4.2 生成属性映射

# 为每个构建产物生成安全等级映射
artifact_severity[artifact.id] := severity {
  artifact := input.artifacts[_]
  severity := "critical" {
    artifact.cvss_score >= 9.0
  }
  severity := "high" {
    artifact.cvss_score >= 7.0
    artifact.cvss_score < 9.0
  }
  severity := "medium" {
    artifact.cvss_score >= 4.0
    artifact.cvss_score < 7.0
  }
  severity := "low" {
    artifact.cvss_score < 4.0
  }
}

# 结果示例：
# {
#   "artifact-001": "critical",
#   "artifact-002": "medium"
# }

4.5 默认规则（Default Rules）

默认规则为规则提供回退值，当规则主体条件不满足导致规则未定义时，使用默认值代替。

4.5.1 默认规则语法

# 声明默认值
default allow_deploy = false

# 实际规则定义
allow_deploy := true {
  input.artifact.vulnerability_level == "low"
  input.artifact.license_compliance == true
}

# 当条件不满足时，allow_deploy 返回 false 而不是 undefined

4.5.2 默认规则使用场景

4.6 规则定义与引用关系图

下图展示了 Rego 规则定义的核心结构以及引用如何连接输入数据与规则逻辑：

4.7 综合示例：构建产物安全验证

将本节知识点整合为一个完整的策略示例，模拟 CI/CD 流水线中的构建产物安全验证：

# 默认拒绝
default allow_deploy = false

# 完整规则：允许部署的条件
allow_deploy := true {
  # 引用输入数据
  artifact := input.artifact
  
  # 安全扫描通过
  artifact.scan_status == "passed"
  
  # 漏洞等级在可接受范围
  artifact.max_vulnerability in {"low", "medium"}
  
  # 许可证合规
  artifact.license_approved == true
  
  # 签名验证通过
  artifact.signature_valid == true
}

# 部分规则：生成阻断原因列表
block_reasons[reason] {
  artifact := input.artifact
  artifact.scan_status != "passed"
  reason := "安全扫描未通过"
}

block_reasons[reason] {
  artifact := input.artifact
  artifact.max_vulnerability == "critical"
  reason := "存在严重漏洞"
}

block_reasons[reason] {
  artifact := input.artifact
  artifact.license_approved != true
  reason := "许可证未批准"
}

block_reasons[reason] {
  artifact := input.artifact
  artifact.signature_valid != true
  reason := "签名验证失败"
}

# 完整规则：汇总阻断信息
deployment_blocked := true {
  count(block_reasons) > 0
}

4.8 常见错误与调试