OPA中如何遍历多值验证cat标签是否存在？代码问题排查

问题场景 #

你有如下JSON数据：

{
  "labels": {
    "apple": "one",
    "banana": "two",
    "cat": "three"
  }
}

以及OPA规则：

check_against_targets(value, targets) {
    mode == "allowlist"
    match_mode == "regex"
    not my_regexp.match_name(value, targets)
}
check_labels(labels) {
    print(count(labels))
    count(labels) > 0
    some i
    check_against_targets(labels[i])
}

你希望验证cat标签是否已设置，但当前规则仅检查第一个标签，未遍历所有标签，不符合预期。

问题原因 #

1. some关键字的特性：OPA中some是用来声明存在性的，只要找到任意一个满足条件的实例就会停止计算，不会遍历全部元素。所以你的check_labels规则只要有一个标签通过check_against_targets就返回true，不会继续检查其他标签。
2. 对象遍历方式错误：你的labels是键值对对象，不是数组，用labels[i]这种索引方式无法正确遍历对象的键或值，必须用keys(labels)来获取所有标签键，再逐个访问对应的值。

修复方案 #

方案1：直接验证cat标签存在 #

如果你的需求只是确认cat标签存在，不需要遍历所有标签，规则可以简化：

check_has_cat_label(labels) {
    # 检查cat键存在且值非空，可根据实际需求调整判断逻辑
    labels.cat != ""
}

方案2：遍历所有标签并验证（适配原allowlist逻辑） #

如果需要确保所有标签都符合check_against_targets的校验规则，需要用all关键字遍历全部标签：

check_all_labels(labels) {
    count(labels) > 0
    # 遍历labels的所有键，确保每个标签值都通过校验
    all k in keys(labels) {
        check_against_targets(labels[k], targets)
    }
}

# 原校验规则保持不变（需确保mode、match_mode、targets、my_regexp已正确定义）
check_against_targets(value, targets) {
    mode == "allowlist"
    match_mode == "regex"
    not my_regexp.match_name(value, targets)
}

all k in keys(labels)会遍历labels的每一个键，只有当所有标签值都满足check_against_targets的条件时，check_all_labels才会返回true。

内容的提问来源于stack exchange，提问作者Antham