Reglas, conjuntos y evaluación en Rego

En Rego hay dos formas de definir una regla. Una regla de conjunto parcial (deny contains msg if { ... }) construye un conjunto: cada vez que el cuerpo se cumple, añade un elemento. Puedes escribir varias definiciones con el mismo nombre, incluso en archivos distintos, y el resultado es la unión de todas. Así funcionan deny y warn en Conftest: cada elemento del conjunto es un mensaje de fallo o de advertencia.

Una regla completa (nivel := "alto" if { ... }) produce un único valor. Si dos definiciones se cumplen a la vez con valores distintos, el motor no elige: devuelve un error de conflicto. Eso es lo contrario de lo que pasa con los conjuntos, y es la razón de que una misma entrada pueda ir bien con una política y romperla con otra.

Para saber qué hace una política no hace falta ejecutarla: se lee la regla y se aplican sus condiciones a la entrada. Cada línea del cuerpo es una condición, y todas deben cumplirse para que el elemento entre en el conjunto. some regla in input.reglas_entrada recorre la lista: el cuerpo se evalúa una vez por cada regla de entrada, y cada coincidencia añade un mensaje.

Abre la política de despliegue y la entrada de la bodega. Aplica las condiciones a cada regla de entrada.

En Rego una expresión puede ser verdadera, falsa o indefinida (cuando se refiere a algo que no existe). El cuerpo de una regla se detiene en cuanto una condición es falsa o indefinida, y la regla simplemente no produce nada. not x es verdadero cuando x es indefinido o falso. Pero un texto vacío no es ni lo uno ni lo otro: es un valor definido y, para Rego, cuenta como presente.

La regla de advertencia de la política usa not regla.descripcion para detectar reglas sin descripción. Mira qué valor trae cada regla de entrada en ese campo.

El conflicto entre reglas completas es uno de los pocos fallos de Rego que no se queda en silencio: el motor lo reporta como un error de evaluación. Es una ventaja: se ve. Pero solo se ve si alguien lee la salida; un trabajo de CI que ignora el código de salida lo enterraría.

Mira el archivo de reglas de riesgo y la salida de la consulta que hizo el equipo.

La advertencia debería cubrir dos casos: el campo ausente y el campo vacío. Corregirla pide decidir qué significa «sin descripción» y escribir esa decisión en la regla, no esperar a que el motor adivine la intención del autor.