如何排查OPA Rego测试用例失败返回false的具体原因

问题场景 #

你编写了如下Rego测试用例：

test_protected_allow {
    test_token := test.create_test_token({
            "audience": "https://whatever.companyname.com",
            "network": "internal",
            "acl": ["WHATEVER_READWRITE_POLICY_RULE"],
    })
    test_request := test.create_test_request({
        "path": "/s3",
        "method": "POST",
        "token": test_token
    })
    allow_protected == true with input as test_request 
}

执行测试后仅返回"allow_protected": false，无法直接定位失败原因，可通过以下OPA原生支持的通用方案排查，无需依赖业务侧自定义策略代码：

• 启用详细/追踪模式运行测试
  执行测试命令时追加-v参数开启verbose模式，会输出每个测试用例的基础执行信息、失败分支概要；追加--trace参数可输出完整的规则求值链路，逐条展示每个判断条件的求值结果，直接定位到不满足的判断节点，对应命令如下：

  # 基础详细输出
  opa test -v 你的策略文件目录/
  # 全链路追踪输出
  opa test --trace 你的策略文件目录/
  

• 临时插入打印语句输出中间值
  Rego内置print()函数可在求值时输出指定内容，你可以在测试用例、甚至业务策略的判断分支中临时插入打印语句，输出你关心的中间值（比如解析后的token字段、路径匹配结果、权限校验结果），执行测试时打印内容会直接输出到控制台，示例：

  test_protected_allow {
      test_token := test.create_test_token({
              "audience": "https://whatever.companyname.com",
              "network": "internal",
              "acl": ["WHATEVER_READWRITE_POLICY_RULE"],
      })
      test_request := test.create_test_request({
          "path": "/s3",
          "method": "POST",
          "token": test_token
      })
      # 临时打印待校验规则的实际返回值
      print("allow_protected实际求值结果：", allow_protected)
      # 可按需打印其他中间变量
      allow_protected == true with input as test_request 
  }
  

• 拆分组合条件逐段断言
  通常allow_protected这类放行规则是由多个AND逻辑的判断条件组合而成，你可以把每个判断条件单独拆出来作为测试断言，哪个断言触发失败，就说明对应条件不满足，比如如果规则逻辑包含audience校验、网络类型校验、ACL权限校验三个部分，就分别对三个条件单独写== true的断言，即可快速定位错误环节。
• 交互式REPL逐行调试
  直接在命令行执行opa run加载你的策略文件进入交互式环境，手动传入测试用的input值，逐行输入规则中的判断表达式，实时查看每个表达式的返回结果，适合排查复杂嵌套规则的求值问题。

以上方法可以直接定位到类似「请求因audience配置错误被拒绝」「ACL列表缺少对应权限」这类明确的失败原因，排查完成后删掉临时加的打印语句即可。

内容的提问来源于stack exchange，提问作者Steve