3. Crossplane 策略语法入门：策略规则的基本结构

在 IDP 网络拓扑中，Crossplane 策略是控制资源合规性、安全性与成本的核心手段。理解策略规则的基本结构——条件、动作、优先级——以及常见关键字与操作符，是编写高效、可复用策略的前提。本节将系统拆解策略语法，帮助你在网络拓扑场景中精准命中目标资源，同时降低误报率。

3.1 策略规则的三要素：条件、动作、优先级

每条 Crossplane 策略规则由三个核心部分组成，它们共同决定了策略的生效范围与行为：

3.2 常见关键字与操作符

Crossplane 策略语法基于 Rego（OPA 策略语言）或 Crossplane 原生 Composition 策略引擎。以下是最常用的关键字与操作符分类：

3.2.1 条件匹配关键字

• matchLabels：基于资源标签精确匹配，常用于网络拓扑中的子网、路由表分类。
• matchAnnotations：基于注解匹配，适合传递运维元数据。
• matchExpressions：支持集合运算（In、NotIn、Exists、DoesNotExist），实现灵活的条件组合。
• spec.forProvider：直接访问资源的 spec 字段，用于检查 CIDR、端口、实例类型等网络参数。

3.2.2 逻辑与比较操作符

3.3 策略规则结构示例（内联 SVG）

下图展示了一条典型的 Crossplane 策略规则在 IDP 网络拓扑中的解析流程，从资源创建请求到策略引擎裁决的完整路径：

3.4 完整策略规则代码示例

以下是一个针对 IDP 网络拓扑中 VPC 子网 CIDR 合规性的策略规则，展示了条件、动作、优先级的完整写法：

apiVersion: policy.crossplane.io/v1alpha1
kind: PolicyRule
metadata:
  name: subnet-cidr-constraint
spec:
  priority: 10
  matchConditions:
    - matchLabels:
        network-tier: "production"
    - matchExpressions:
        - key: "spec.forProvider.cidrBlock"
          operator: NotIn
          values:
            - "10.0.0.0/16"
            - "10.1.0.0/16"
  action: deny
  message: "生产环境子网 CIDR 必须为 10.0.0.0/16 或 10.1.0.0/16"

3.5 常见操作符组合与误报规避

操作符组合不当是导致误报的主要原因。以下表格总结了高频组合场景与推荐写法：

3.6 策略规则优先级冲突解决（内联 SVG）

当多条策略规则同时匹配同一资源时，优先级决定了最终动作。下图展示了优先级冲突的解决机制：

3.7 策略语法速查表

为方便日常编写与复核，以下汇总了最常用的关键字与操作符速查表：