3. Rego 基础回顾：Rego 语法、规则定义、数据文档与查询

在深入 Helm 环境下的 Rego 策略性能基准测试之前，必须牢固掌握 Rego 语言的核心基础。Rego 是一种专为云原生环境设计的声明式查询语言，其设计哲学是“策略即代码”（Policy as Code）。本章将系统回顾 Rego 的语法结构、规则定义方式、数据文档模型以及查询执行机制，为后续的性能测试奠定坚实的语言基础。

3.1 Rego 语言核心语法

Rego 的语法受 Datalog 和 JSON 的启发，强调可读性与可组合性。其核心是规则（Rules）和查询（Queries），所有操作都围绕输入文档（input）和数据文档（data）展开。

3.1.1 基本数据类型与字面量

3.1.2 表达式与操作符

Rego 支持丰富的表达式，用于构建策略逻辑：

• 比较操作符：==（等于）、!=（不等于）、<、>、<=、>=
• 逻辑操作符：not（否定）、and（合取，默认逗号分隔）、or（析取，使用分号 ; 或显式 or）
• 算术操作符：+、-、*、/
• 成员操作符：some（迭代）、in（成员检查）
• 聚合函数：count()、sum()、max()、min()、any()、all()

3.2 规则定义：从简单到复杂

规则是 Rego 策略的基本构建块。每条规则定义了一个逻辑断言，当规则体中的所有条件都满足时，规则头部的表达式为真。

3.2.1 规则分类

3.2.2 规则定义示例

# 布尔规则：允许访问
allow {
    input.user.role == "admin"
}

# 完整规则：计算最高权限
max_permission := "read" {
    input.user.role == "viewer"
} else := "write" {
    input.user.role == "editor"
} else := "admin" {
    input.user.role == "admin"
}

# 部分规则：构建命名空间级别的资源映射
allowed_resources[ns] = resources {
    some ns
    resources := data.namespace_permissions[ns]
    input.user.groups[_] == data.namespace_owners[ns][_]
}

# 增量规则：多个条件合并
deny {
    input.request.method == "DELETE"
    input.request.path == "/api/v1/secrets"
}
deny {
    input.request.user == "anonymous"
}

3.3 数据文档与查询模型

Rego 的查询模型基于文档（Documents）。OPA 引擎将输入（input）和外部数据（data）视为不可变的 JSON 文档，策略规则则是对这些文档的声明式查询。

3.3.1 文档层次结构

下图展示了 Rego 查询中涉及的文档层次关系：

3.3.2 查询执行流程

Rego 查询的执行遵循以下步骤：

1. 输入绑定：OPA 将外部请求（如 Kubernetes Admission Review）绑定到 input 文档。
2. 数据加载：从外部数据源（如 Helm values、ConfigMap、Bundle）加载 data 文档。
3. 规则评估：引擎遍历所有规则，对每个规则体进行逻辑统一和模式匹配。
4. 结果聚合：将所有满足条件的规则结果合并为最终的 JSON 输出。
5. 缓存与索引：OPA 自动对规则结果进行缓存，并建立索引以加速重复查询。

3.4 内置函数与聚合操作

Rego 提供了丰富的内置函数，用于处理字符串、数组、对象、时间等常见操作。在性能基准测试中，以下函数的使用频率最高：

3.5 常见模式与反模式

在 Helm 策略编写中，以下模式直接影响性能：

3.6 本章小结