OPA部分策略评估与http.send执行异常问题求助

背景与需求 #

借助OPA实现数据查询的防护与过滤，参考官方SQL策略落地思路，在微服务架构下，策略评估需从其他服务获取数据。核心目标是：

• 对Rego策略执行部分评估，通过http.send从外部服务拉取所需数据
• 基于部分评估结果生成SQL查询，确保用户仅能访问符合权限的数据
• 评估结果需包含服务数据模型过滤所需的全部值，无需后续再调用外部服务

问题现象 #

1. 调用OPA的v1/compile接口时，策略中的http.send请求未执行
2. 调用v1/data接口时，返回结果为{"allow": false,"allowed": [],"denied": []}

策略示例 #

用户当前使用的Rego策略如下：

allow {
  input.method = "GET"
  input.path = ["entity"]
  allowed[entity]
}

allowed[entity] {
   entities = data.entities[_] # data.entities is unknown
   userEntities2 := http.send({
      "method": "GET",
      "url": concat("", ["/service2/users/", input.userId, "/entity2"]),
   }).body
   userEntities2Ids := [ui.id | ui = userEntities2[_]]
   entity.entities2Ids[_] = userEntities2Ids[_]
}

架构示意图 #

问题排查与解决方案 #

1. v1/compile接口不执行http.send的原因及解决 #

OPA的v1/compile接口默认执行部分评估（Partial Evaluation），会自动跳过带有副作用的内置函数（如http.send）——这是因为部分评估的核心目标是生成可后续复用的策略片段，而非立即触发外部调用。

要让compile接口执行http.send，需做以下配置：

• 启用副作用评估：启动OPA时添加--enable-builtin-eval参数，允许在部分评估阶段执行有副作用的内置函数
• 放开HTTP请求权限：OPA默认禁止所有外部HTTP请求，需通过启动参数指定允许的URL，例如：

  opa run --server --enable-builtin-eval --set plugins.http.allow_urls="http://service2:*"
  

• 调用时指定参数：调用v1/compile时，需添加allow_unknowns=true查询参数，确保未知数据（如data.entities）被保留，同时触发副作用函数执行

2. v1/data接口返回空结果的问题修复 #

当前策略存在多处逻辑与配置问题，导致规则无法匹配：

• URL路径错误：http.send使用相对路径/service2/...，OPA无法解析，需替换为完整的服务URL（如http://service2:8080/users/...）
• 未知数据引用逻辑错误：entities = data.entities[_]仅声明变量但未绑定到entity，应改为entity := data.entities[_]来遍历未知的实体集合
• 匹配逻辑错误：entity.entities2Ids[_] = userEntities2Ids[_]的写法无法正确判断交集，应使用集合成员判断id in userEntities2Ids
• 缺少HTTP请求错误处理：未校验http.send的响应状态，若请求失败会直接导致规则失效

修正后的策略示例

allow {
  input.method = "GET"
  input.path = ["entity"]
  allowed[_]  # 只要存在至少一个允许的实体，allow规则即成立
}

allowed[entity] {
  # 发送HTTP请求并校验响应状态
  response := http.send({
    "method": "GET",
    "url": sprintf("http://service2:8080/users/%s/entity2", [input.userId]),
  })
  response.status_code == 200

  # 提取用户有权限的entity2 ID集合（用集合提升匹配效率）
  userEntities2 := response.body
  userEntities2Ids := {ui.id | ui := userEntities2[_]}

  # 遍历未知的实体集合，筛选出与用户权限匹配的实体
  entity := data.entities[_]
  some id
  id := entity.entities2Ids[_]
  id in userEntities2Ids
}

额外注意事项 #

• 调用v1/data接口时，必须传入完整的input参数（包含userId、method、path），否则规则无法触发
• 若要生成SQL过滤条件，需确保data.entities的结构与数据库表结构对齐，且OPA的SQL生成器支持该结构的转换
• 生产环境中，避免使用*放开所有HTTP请求权限，应指定具体的服务域名与端口，降低安全风险

内容的提问来源于stack exchange，提问作者Christian Wunder