4. Rego 性能基准测试：使用 opa bench 进行基准测试

在排查 OPA 准入控制延迟时，量化规则性能是定位瓶颈的第一步。opa bench 是官方提供的基准测试工具，能够模拟真实评估压力，输出吞吐量、延迟分布和内存分配等关键指标。本节将讲解如何编写基准测试、解读报告以及构建有意义的测试场景。

4.1 基准测试基础命令与输出结构

opa bench 的基本用法与 opa eval 类似，但会多次执行并统计性能数据。典型命令如下：

# 对单个规则文件进行基准测试
opa bench -d policy.rego -i input.json 'data.example.allow'

# 输出详细的内存分配和延迟分布
opa bench -d policy.rego -i input.json --count=1000 --benchmem 'data.example.allow'

执行后，控制台会输出类似下方的表格：

4.2 理解测试结果：吞吐量、延迟与内存分配

三个核心维度共同决定规则在生产中的表现：

• 吞吐量（Throughput）：单位时间内完成的评估次数。受 CPU 核心数和规则复杂度影响。单线程吞吐量可用于估算多副本下的总容量。
• 延迟（Latency）：单次评估的耗时。重点关注 p50（典型延迟）和 p99（尾部延迟）。高 p99 通常意味着存在极端输入或规则分支。
• 内存分配（Memory Allocation）：B/op 和 allocs/op 反映规则对 GC 的压力。高分配次数会导致 Go 运行时频繁 GC，间接拉高延迟。

4.3 设置基准测试场景

为了获得有意义的测试结果，必须构建贴近生产环境的场景。以下步骤可确保测试的有效性：

1. 准备真实输入数据：使用生产环境中的典型请求体（如 Pod、Deployment 的 JSON），避免使用过于简单或极端的输入。
2. 覆盖多种规则路径：对不同的规则入口（如 data.kubernetes.admission.deny、data.kubernetes.admission.mutate）分别测试。
3. 设置合理的迭代次数：使用 --count=500 或更高，确保统计结果稳定。过少的迭代会导致百分位数据失真。
4. 模拟并发压力：使用 opa run --server 启动服务后，配合 hey 或 wrk 进行并发测试，观察多请求下的延迟变化。

# 示例：使用 hey 对 OPA 服务进行并发基准测试
hey -n 1000 -c 10 -m POST \
  -H "Content-Type: application/json" \
  -d @input.json \
  http://localhost:8181/v1/data/example/allow

4.4 基准测试流程与决策树

下图展示了从编写测试到定位瓶颈的完整流程：

4.5 常见场景与测试参数对照