4. Rego 策略缓存机制：OPA 内部缓存类型与命中场景

在准入控制场景中，OPA 每次收到 Kubernetes API Server 的准入请求时，都需要执行 Rego 策略。如果每次执行都重新解析、编译策略并重新查询外部数据，延迟将不可接受。OPA 通过三层缓存机制来降低重复计算开销：AST 缓存、规则缓存 和 HTTP 缓存。理解这三层缓存的命中与未命中场景，是定位策略缓存延迟故障的基础。

4.1 三层缓存架构总览

下图展示了 OPA 内部三层缓存的协作关系，以及请求数据在缓存层之间的流动路径。

4.2 AST 缓存（模块解析缓存）

作用对象：Rego 源文件（.rego 模块）。
缓存粒度：每个模块文件独立缓存。
缓存键：模块文件路径 + 文件内容 SHA256 哈希。

当 OPA 启动或通过 Bundle API 加载策略时，会先检查 AST 缓存。如果模块内容未变化，则直接使用缓存的 AST 语法树，跳过词法分析和语法解析阶段。

4.3 规则缓存（编译缓存）

作用对象：编译后的规则集（Intermediate Representation, IR）。
缓存粒度：按策略包（package）粒度缓存。
缓存键：包名 + 所有依赖模块的 AST 版本戳。

规则缓存是三层缓存中最关键的一层。在准入控制场景中，同一个策略包可能被数千个请求反复调用。如果规则缓存命中，OPA 可以直接执行编译后的 IR，无需重新编译。

4.4 HTTP 缓存（外部数据缓存）

作用对象：通过 http.send 获取的外部数据。
缓存粒度：每个 HTTP 请求独立缓存。
缓存键：HTTP 方法 + URL + 请求头 + 请求体哈希。
缓存控制：遵循 HTTP 响应头中的 Cache-Control 和 ETag。

在准入控制场景中，策略经常需要查询外部服务（如镜像仓库、RBAC 系统）。HTTP 缓存可以避免重复的网络往返，但缓存策略配置不当会导致数据陈旧或缓存穿透。

4.5 缓存命中与未命中的完整决策流程

以下 SVG 图展示了 OPA 在处理一个准入请求时，三层缓存的逐级检查顺序以及未命中时的回退路径。

4.6 缓存延迟故障的典型模式

• AST 缓存频繁未命中：通常由 Bundle 推送过于频繁或 OPA 实例频繁重启导致。检查 opa_bundle_loading_seconds 指标。
• 规则缓存级联失效：当策略包依赖链较深时，底层模块变更会引发上层所有包重新编译。使用 opa inspect 命令分析依赖树。
• HTTP 缓存穿透：外部服务未返回有效的 Cache-Control 头，或请求参数（如时间戳）每次都不同，导致缓存无法命中。检查 opa_http_cache_hit_ratio 指标。
• 缓存逐出导致抖动：OPA 内存不足时，LRU 缓存会逐出最近最少使用的条目。如果准入请求的流量模式突然变化，冷启动延迟会显著增加。

# 查看策略评估的缓存指标
opa eval --metrics --format pretty 'data.kubernetes.admission.deny' \
  --input input.json \
  --data policy.rego

# 输出示例（关注 cache_hit 相关指标）
# ast_cache_hit: 1
# rule_cache_hit: 1
# http_cache_hit: 0
# eval_time: 0.002ms

4.7 缓存配置参数速查表