如何组合多个规则的结果

Question

我有3个角色，我正在尝试根据分配的角色返回用户可以做的操作。

游乐场： https://play.openpoly.openpolycyagent.org/p/5gn7obojxh

如果要处理的对象在列表中，则角色返回任何动作。

我是OPA和Rego的新手，当需要简单的比较之外，我发现它非常令人困惑。

Answer 1

OPA中的规则是完整或部分。完整的规则是评估单个值的规则，因此，如果评估不同的，相互矛盾的价值 - 例如，布尔值“允许”规则不能既是true and false。

部分规则 return return return sets或objects或对象，并且是构建的，并且是通过以相同名称和将结果添加到每个规则的情况下， 规则产生的设置/对象。

Example policy using a partial rule to build a set might look something like this:

package policy

import future.keywords.in

deny["Username found in deny list"] {
    input.user.name in data.users.denylist
}

deny[msg] {
    not "read" in input.user.roles
    msg := sprintf("User %v missing role 'read'", [input.user.name])
}

deny["/admin endpoint requires 'admin' role"] {
    input.request.path[0] == "admin"
    not "admin" in input.user.roles
}

When evaluated with an input like the below:

{
  "input": {
    "user": {
      "name": "bob",
      "roles": ["developer"]
    },
    "request": {
      "path": ["admin", "users"]
    }
  }
}

The deny rule might evaluate to:

[
  "User bob missing role 'read'",
  "/admin endpoint requires 'admin' role"
]

The example policy you provided could be rewritten to use incremental rules, like this: https://play.openpolicyagent.org/p/MYFFAVqMCu

If you'd like to learn more, Styra Academy 是OPA文档的绝佳补充资源。