OPA策略定义中的通配符：如何匹配指定HTTP端点？

针对你给出的/xyz/v1.0/applicationVersions?applicationName=blah&default=true&pageSize=3&pageNumber=1这类HTTP端点，在OPA里可以通过以下几种方式实现匹配，满足基于端点查找元数据的业务需求：

1. 路径部分匹配 #

通配符匹配（glob） #

OPA内置的glob.match函数适合做路径的前缀或模糊匹配，语法简单直观：

• 精确匹配路径：glob.match("/xyz/v1.0/applicationVersions", [], input.path)
• 前缀匹配（比如匹配/xyz/v1.0/下的所有端点）：glob.match("/xyz/v1.0/*", [], input.path)
• 多级路径匹配（比如匹配/xyz/下任意版本的applicationVersions）：glob.match("/xyz/**/applicationVersions", [], input.path)

正则匹配（re_match） #

如果需要更灵活的路径匹配（比如版本号格式校验），可以用re_match函数：

• 精确匹配固定路径：re_match(r"^/xyz/v1\.0/applicationVersions$", input.path)
• 匹配任意主版本号的路径：re_match(r"^/xyz/v\d+\.\d+/applicationVersions$", input.path)（匹配v1.0、v2.1等格式的版本号）

2. 查询参数匹配 #

针对URL中的查询参数，可以直接结合OPA的输入对象（input.query）做匹配：

• 精确匹配参数值：input.query.applicationName == "blah" 或 input.query.default == "true"
• 参数存在性校验："pageSize" in input.query（只检查参数是否存在，不关心值）
• 参数值通配符匹配：glob.match("bl*", [], input.query.applicationName)（匹配以bl开头的applicationName值）
• 参数值正则匹配：re_match(r"^\d+$", input.query.pageSize)（校验pageSize必须是数字）

3. 路径+查询参数组合匹配 #

如果需要同时匹配路径和特定查询参数，直接将两种逻辑组合即可，比如：

# 匹配指定路径且default参数为true的请求
match_endpoint {
    glob.match("/xyz/v1.0/applicationVersions", [], input.path)
    input.query.default == "true"
}

# 匹配路径符合版本规则，且applicationName以bl开头、pageSize为数字的请求
match_advanced {
    re_match(r"^/xyz/v\d+\.\d+/applicationVersions$", input.path)
    glob.match("bl*", [], input.query.applicationName)
    re_match(r"^\d+$", input.query.pageSize)
}

4. 完整URL匹配 #

如果需要匹配整个URL（路径+所有查询参数），可以直接对input.url做正则匹配：

match_full_url {
    re_match(r"^/xyz/v1\.0/applicationVersions\?applicationName=blah&default=true&pageSize=\d+&pageNumber=\d+$", input.url)
}

实用建议 #

• 优先用glob做路径匹配，比正则更易读维护；复杂格式校验再用正则。
• 如果元数据是按「路径+关键参数」的维度存储，可以把这些字段拼接成唯一键来查找，比如：

  metadata_key = concat(":", [input.path, input.query.applicationName])
  # 假设metadata是存储的元数据集合
  matched_metadata = metadata[metadata_key]
  

内容的提问来源于stack exchange，提问作者Adi