OPA-Trino授权规则：提前匹配allow时如何阻止http.send请求？

问题原因 #

OPA的策略评估采用单调逻辑，所有allow规则都会被完整评估——哪怕前面的规则已经让allow结果为true，后续规则的条件（包括带副作用的http.send）仍会执行，这就是你看到API日志中总有多余请求的原因。

解决方案 #

通过定义一个本地规则汇总所有无需HTTP校验的允许条件，然后让最后一个带HTTP请求的规则仅在这些前置条件都不满足时才执行。

修改后的Rego规则 #

import rego.v1

default allow := false

# 汇总所有基础允许场景，无需调用外部API
local.basic_allowable if {
    (input.action.operation == "ExecuteQuery" and not input.action.resource) or
    input.action.operation == "AccessCatalog" or
    input.action.operation == "FilterCatalogs" or
    input.action.operation == "FilterSchemas" or
    (input.action.operation == "SelectFromColumns" and input.action.resource.table.catalogName == "system")
}

# 匹配基础场景直接允许
allow if local.basic_allowable

# 仅当基础场景不匹配时，才调用外部API校验
allow if {
    not local.basic_allowable
    response := http.send({
        "method": "post",
        "url": "http://host.docker.internal:8085/api/products/check-table-access",
        "headers": {"Content-Type": "application/json"},
        "body": {
            "user": input.context.identity.user,
            "table": input.action.resource.table.tableName
        }
    })
    response.status_code == 200
}

逻辑说明 #

1. local.basic_allowable将所有无需外部校验的允许条件整合为一个规则，便于统一判断。
2. 第一个allow规则优先匹配基础场景，直接返回允许。
3. 第二个allow规则通过not local.basic_allowable确保仅在基础场景都不匹配时，才执行HTTP请求并校验结果。

这样就能彻底避免前面条件满足时仍发起不必要的API请求。

内容的提问来源于stack exchange，提问作者Alper İnan