如何在Rego脚本中调用Shell脚本？

由于Rego本身是声明式语言，内置函数确实没有直接调用Shell脚本的能力，以下是几种可行的实现方式：

1. 启用OPA的exec内置函数（需配置开启） #

OPA提供了exec内置函数，但默认处于禁用状态，需要在启动OPA时通过--enable-builtin-exec参数开启该功能。启用后即可在Rego中直接调用Shell命令。

示例Rego代码：

package example

import rego.v1

# 调用ls命令获取当前目录列表
result := exec(["ls", "-l"])

# 提取命令执行结果的标准输出
output := result.stdout

注意：该方式存在安全风险，仅在可信环境中使用，避免执行未验证的命令。

2. 外部预执行Shell脚本，将结果传入Rego #

如果不想启用exec函数，可以先在外部执行Shell脚本，将输出结果转为JSON格式，再作为输入数据传入OPA进行规则评估。

步骤示例：

• 执行Shell脚本并输出JSON：

  #!/bin/bash
  # 执行命令并转为JSON格式
  echo '{"disk_usage": "'$(df -h / | grep / | awk '{print $5}')'"}' > output.json
  

• 调用OPA时传入该JSON作为输入：

  opa eval -i output.json "data.example.disk_usage" -d policy.rego
  

• 对应的Rego规则：

  package example
  
  import rego.v1
  
  disk_usage := input.disk_usage
  

3. 编写OPA自定义Go插件（进阶方案） #

如果需要更灵活的Shell调用能力，可以基于OPA的插件机制编写自定义Go函数，实现Shell命令执行逻辑，然后编译进OPA。

核心思路：

• 实现Builtin接口，在函数中调用Go的os/exec包执行Shell命令
• 将插件编译为Go插件或直接集成到OPA二进制中
• 在Rego中导入并使用该自定义函数

这种方案适合有Go开发经验的场景，能更好地控制执行逻辑和安全性。

内容的提问来源于stack exchange，提问作者Elifarley