Rego编写OPA策略如何同时返回自定义字符串与非零退出码适配CI/CD

你的判断是正确的。opa eval自带的--fail、--fail-defined参数仅根据查询表达式的求值状态（是否为undefined）判断是否返回非零退出码，不会解析返回的字符串内容做逻辑判断，你当前带default值的规则无论校验是否通过都处于已定义状态，无法直接通过这两个参数同时满足两个需求。

核心参数逻辑说明 #

• --fail：查询结果为undefined时返回非零退出码，只要结果已定义（无论值是字符串、布尔、对象）都返回0退出码
• --fail-defined：查询结果存在已定义的非空值时返回非零退出码，结果为undefined时返回0退出码

你当前的示例代码给hello设置了默认值，因此data.play.hello永远会返回已定义的字符串：

• 加--fail-defined参数时，无论返回"hello passed"还是"hello failed"，都属于已定义值，会永远触发非零退出码
• 加--fail参数时，规则永远不会返回undefined结果，因此永远返回0退出码，无法实现失败中断CI流程的效果

实现方案 #

方案1：拆分校验规则与错误信息（官方推荐，适配生产CI场景） #

将策略拆分为两部分：专门用于退出码判断的违规规则集合，以及原有业务逻辑规则，不破坏现有测试用例，支持同时返回多条自定义错误。
修改后的Rego代码示例：

package play

# 违规规则集合：仅在校验不通过时生成对应自定义错误信息，校验通过时为undefined
violation["自定义错误提示：输入message字段必须等于world"] {
    not input.message == "world"
}

# 原有业务逻辑可完整保留，不影响已写的单元测试
hello := "hello passed" {
    input.message == "world"
}

CI流程中执行逻辑：

1. 首先调用命令判断是否存在违规，存在违规直接返回非零码中断流程：
   opa eval -i .\input.json -d .\test_rego.rego 'data.play.violation' --fail-defined -f raw
2. 上述命令执行失败时，会直接将violation集合中所有自定义错误字符串打印到控制台，不需要额外做输出处理。

该写法是OPA对接CI/CD的标准实践，支持同时配置多条不同维度的校验规则，每条规则对应独立的自定义错误提示，完全兼容opa test单元测试框架。

方案2：Shell层判断输出内容返回退出码（无Rego改造成本） #

如果不想修改现有Rego代码，可以不依赖OPA自带的退出码参数，在Shell层判断返回的字符串内容，手动控制退出码，示例命令：

# 读取规则执行结果
result=$(opa eval -i .\input.json -d .\test_rego.rego 'data.play.hello' -f raw)
# 打印结果到控制台
echo "$result"
# 匹配失败提示时返回非零退出码中断流程
if [ "$result" = "hello failed" ]; then
    exit 1
fi

该方案改造成本低，但维护性差，后续修改错误提示文案、新增错误类型时需要同步修改Shell判断逻辑，仅适合简单策略场景使用。

内容的提问来源于stack exchange，提问作者Steven DeVerteuil