3. 自定义规则开发环境搭建：开发工具选择、SDK安装、本地测试沙箱配置

搭建一个高效、可复现的自定义规则开发环境，是保障 Policy Check 规则质量与迭代速度的基础。本节将指导你完成从工具选型、SDK 集成到本地沙箱验证的全流程配置，确保开发环境与后续服务目录集成环节无缝衔接。

3.1 开发工具选择与对比

推荐使用 VS Code 作为主编辑器，配合以下扩展可显著提升规则编写与调试效率：

3.2 SDK 安装与项目初始化

Policy Check 自定义规则基于 Rego 策略语言，SDK 安装本质上是获取 OPA (Open Policy Agent) 引擎及其配套工具链。以下是标准安装步骤：

1. 安装 OPA CLI（核心引擎）

# macOS (Homebrew)
brew install opa

# Linux (直接下载二进制)
curl -L -o opa https://openpolicyagent.org/downloads/v0.60.0/opa_linux_amd64_static
chmod +x opa
sudo mv opa /usr/local/bin/

# Windows (使用 PowerShell)
Invoke-WebRequest -Uri https://openpolicyagent.org/downloads/v0.60.0/opa_windows_amd64.exe -OutFile opa.exe
# 将 opa.exe 所在目录加入 PATH

2. 验证安装

opa version
# 输出示例: Version: 0.60.0, Build: ...

3. 初始化项目结构

mkdir my-policy-project
cd my-policy-project
mkdir -p policies tests data

3.3 本地测试沙箱配置

沙箱用于在隔离环境中模拟服务目录的输入数据，验证规则逻辑是否正确。推荐使用 OPA 内置的测试框架 + 本地 HTTP 服务 两种模式。

3.3.1 基于 OPA 测试框架的单元沙箱

在 tests/ 目录下创建测试文件，使用 test_ 前缀命名：

# tests/test_network_policy.rego
package policy_check.network

test_allow_trusted_cidr {
    result := allow with input as {"metadata": {"labels": {"tier": "frontend"}}}
    result == true
}

test_deny_untrusted_cidr {
    result := allow with input as {"metadata": {"labels": {"tier": "unknown"}}}
    result == false
}

执行测试：

opa test ./policies ./tests -v

输出示例：

data.policy_check.network.test_allow_trusted_cidr: PASS (1.2ms)
data.policy_check.network.test_deny_untrusted_cidr: PASS (0.9ms)
--------------------------------------------------------------------------------
PASS: 2/2

3.3.2 基于 OPA 本地服务器的集成沙箱

启动 OPA 作为守护进程，加载规则和数据文件，通过 REST API 模拟服务目录的实时调用：

opa run --server --addr localhost:8181 ./policies ./data

使用 curl 或 REST Client 发送请求：

POST http://localhost:8181/v1/data/policy_check/network/allow
Content-Type: application/json

{
  "input": {
    "metadata": {
      "labels": {
        "tier": "frontend"
      }
    }
  }
}

响应示例：

{
  "result": true,
  "metrics": {
    "timer_rego_query_eval_ns": 123456
  }
}

3.4 开发环境架构总览

下图展示了从代码编辑到沙箱验证的完整工具链与数据流：

3.5 环境验证清单

完成上述配置后，使用以下清单逐项确认环境就绪：