OPA/Regal 风格规则 `default-over-not`：用 `default` 赋值替代否定条件，写出更清晰的 Rego 策略-育师

OPA/Regal 风格规则`default-over-not`：用`default`赋值替代否定条件，写出更清晰的 Rego 策略

【免费下载链接】opaOpen Policy Agent (OPA) is an open source, general-purpose policy engine.项目地址: https://gitcode.com/gh_mirrors/op/opa

本文围绕 Regal 风格规则目录下的 default-over-not 规则展开，讲解为什么在 Rego 中应优先使用default关键字为规则兜底，而不是用not否定条件再写一条重复赋值规则；同时结合 OPA 官方 policy-language 文档中default关键字的语义，以及 Regal 其他相关风格规则，给出可直接落地到实际策略库的配置与写法建议。读完本文，你将掌握default-over-not规则的触发场景、判断边界、配置方式，并能写出语义更明确、求值开销更低的 Rego 规则。

规则速览：这是什么规则

default-over-not是 Regal 的Style（风格）类别规则之一（完整类别清单见 rules/style/index.md），其核心主张是一句话：

Prefer default assignment over negated condition（优先用default赋值，而不是用否定条件）。

它针对的是 Rego 中一类非常常见的"回退（fallback）"写法：先为某个规则名赋上"正常路径"的值，再在同一个条件取反（not）时，为同名规则再赋一个兜底值。这种写法虽然合法，但 Regal 认为有更地道、更高效的等价写法——直接使用default关键字声明兜底常量。

问题写法与推荐写法

Avoid：用否定条件做回退

package policy username := input.user.name username := "anonymous" if not input.user.name

这段策略的意图是：当input.user.name有值时取该值，否则回退为"anonymous"。它通过两条同名规则协作实现：

第一条：无条件将username赋为input.user.name（input.user.name未定义时该规则不产出值）；
第二条：在not input.user.name（即名字未定义）时，将username赋为"anonymous"。

Prefer：用`default`关键字声明兜底

package policy default username := "anonymous" username := input.user.name

推荐写法只有两条规则，但结构完全不同：

default username := "anonymous"：声明username的默认值为"anonymous"，只有在其他同名规则都未定义时才生效；
username := input.user.name：正常路径的赋值。

两种写法在求值结果上等价，但推荐写法去掉了否定条件，把"回退值"直接声明为规则的默认契约。

Rationale：为什么推荐`default`写法

原文档从三个角度解释了推荐理由：

更好地传达意图：default username := "anonymous"把兜底值放在显眼位置，读者一眼就能看出"拿不到名字就用匿名"是这条规则的固有约定，而不是靠两条规则相互否定来推断；
避免不必要的否定：not input.user.name引入了一层逻辑取反，增加了阅读和推理成本，而default写法根本不需要表达"名字不存在"这个否定事实；
求值开销更小：文档明确指出default写法"requires less instructions to evaluate"（求值所需指令更少），因为运行时不需要为否定条件单独求值。

需要特别强调的是，该规则只覆盖简单场景：一条规则负责"正常路径"赋值，另一条规则在同一条件取反后赋值。这是刻意设计的边界——对于更复杂的逻辑，not与否定表达完全可能是正确且必要的选择（例如需要同时依赖多个否定前提、或与else链、部分规则协同的场景），Regal 并不会一刀切地禁止not。

底层原理：Rego`default`关键字到底怎么工作

要真正理解这条规则，需要回到 OPA 官方语言文档对default关键字的定义。在仓库内的 policy-language.md（Default Keyword 一节）中有完整的语义说明：

default关键字允许策略为**完整定义（complete definitions）**规则产生的文档定义一个默认值；当所有同名规则都未定义时，使用该默认值。

package example default allow := false allow if { input.user == "bob" input.method == "GET" }

如果输入是{"user": "bob", "method": "GET"}，data.example.allow返回true；如果没有匹配的条件，allow文档会返回默认值false。如果没有default定义，同样的输入下allow将是 undefined——这正是default-over-not想避免的、用not手工兜底的场景。

default关键字的语法被严格限制为：

default <name> := <term>

并且有明确的取值约束（来自 policy-language.md）：

<term>可以是任意标量、复合值或推导式（comprehension）；
但不能是变量或引用（reference）；
如果值是复合值（对象、数组、集合），其内部不能包含变量或引用；
推导式除外——推导式的结果永远不会是 undefined，因此可以包含变量。

理解了这些约束，就能明白default-over-not规则为什么只适用于"兜底值是常量"的简单场景：default username := "anonymous"中的"anonymous"是标量，完全合法；而如果你的回退值需要依赖运行时计算，default可能就不再适用，此时not或else反而是合理选择。

此外，从 OPA v0.55.0 起，default关键字也可以用于自定义函数，例如：

default clamp_positive(_) := 0 clamp_positive(x) := x if { x > 0 }

不过函数上的default有一个重要 caveat（详见 default-over-else 的 Exceptions 章节）：只有当传入函数的所有参数都求值为已定义值时，默认分支才会触发，因此first_name(input.name)这类传参可能未定义的调用，并不保证能拿到默认值。这也是default-over-else将函数场景设为 opt-in（配置项prefer-default-functions默认false）的原因。

配置选项

与其他 Regal 规则一样，default-over-not通过项目的.regal.yaml（或等价配置文件）进行开关与级别控制：

rules: style: default-over-not: # one of "error", "warning", "ignore" level: error

配置说明：

level取值为"error"、"warning"、"ignore"三者之一：
- error：违反即报错，适合作为 CI 门禁的硬性要求；
- warning：仅告警提示，不阻断流程，适合在存量策略库中渐进式推广；
- ignore：完全关闭该规则。
该规则没有额外的布尔选项，配置十分简单（对比同目录下的 default-over-else，后者多出prefer-default-functions选项，说明本规则的适用边界更窄、更保守）。

与相关风格规则的协同

default-over-not并非孤立存在，它与 Regal Style 类别中的若干规则共同构成了一套"默认值写法"的最佳实践：

trailing-default-rule（见 trailing-default-rule.md）：要求default规则声明放在条件赋值规则之前。这与default-over-not的推荐写法天然一致——把default username := "anonymous"写在username := input.user.name前面，读者先看到兜底值，再看到正常路径，推理负担最小；
double-negative（见 double-negative.md）：针对not的过度使用问题，进一步强化"减少否定表达"的总体风格导向；
default-over-else（见 default-over-else.md）：把同一哲学延伸到else兜底分支——能用default声明常量兜底，就优先用default。

可以这样理解这套组合拳：default-over-not解决"用not手工兜底"的问题，trailing-default-rule解决"default声明位置"的问题，default-over-else解决"用else兜底"的问题。三者合起来，引导策略作者把"规则的安全回退值"以最显眼、最廉价的方式表达出来。

实操建议与常见误区

先确认兜底值是常量再动手改：default的值不能是变量或引用（详见上文语法约束），所以只有回退值是字面量（字符串、数字、布尔、数组、对象字面量等）时，default-over-not的推荐写法才成立；
同时启用trailing-default-rule保持顺序一致：default声明应放在文件顶部、条件赋值之前，这是 Regal 推荐的惯例；
复杂条件不要强行改造：如果回退逻辑依赖多个否定前提、或与其他规则存在互相引用的复杂关系，not是完全正当的写法，default-over-not的定位只是"简单场景的偏好"，不是禁令；
利用level渐进落地：存量策略库可以先设warning收集命中点，逐步改写后再提升为error，避免一次性大规模改动带来回归风险。

总结

default-over-not是 Regal 风格规则中针对"否定条件兜底"这一高频写法的精准约束：它把not input.user.name这类双重否定式回退，改写为default username := "anonymous"的声明式兜底，让策略意图更直白、求值指令更少。它的适用范围被刻意限制在"一条正常赋值 + 同一条件取反"的简单场景，背后是 Regodefault关键字"值必须是常量/字面量"的语法约束。配合trailing-default-rule与default-over-else，你可以用三行配置为自己的策略库建立起一致、可维护的默认值书写规范。

OPA/Regal 风格规则 `default-over-not`：用 `default` 赋值替代否定条件，写出更清晰的 Rego 策略