OPA服务需指定--addr=0.0.0.0:8181才能跨网络访问，Go SDK调用须匹配service名、显式设timeout、正确配置认证；opa eval测试需传--input；策略须default兜底，Go侧需类型断言处理result。
OPA 服务怎么启动才不踩 localhost 绑定坑
默认 opa run 启动后只监听 127.0.0.1:8181，本地 Go 程序调用没问题，但容器化或跨服务调用时直接连不上。这不是权限问题，是绑定地址没改。
- 启动时加
--addr=0.0.0.0:8181（开发/测试环境） - 生产环境建议用
--addr=https://0.0.0.0:8181+ TLS 证书，否则策略数据明文传输 - 别用
-s（server 模式）和--bundle混用却不指定--watch：改动策略文件不会热加载，得手动重启
Go 客户端调用 github.com/open-policy-agent/opa/sdk 的三个关键配置点
官方 SDK 不是开箱即用的“一键策略判断”，漏配任意一项都会返回 context deadline exceeded 或空结果。
-
service名必须和 OPA 配置中services字段一致，比如 OPA config.yaml 里写的是my-opa-service，SDK 初始化就得传"my-opa-service" -
timeout建议显式设为5 * time.Second：OPA 默认超时是 0（无限），Go HTTP client 却有默认 30 秒，两边不一致容易卡死 - 如果 OPA 启用了认证（如 bearer token），必须在
sdk.New().WithAuthentication()中传入，不能只靠 HTTP header 手动塞——SDK 会忽略未注册的 auth 方式
opa eval 调试策略时为什么 input 总是空？
本地用 opa eval 测试 .rego 文件，命令里没传 --input 或 --data，input 就是 nil，策略里一访问 input.user.role 就 panic。
- 测试数据必须用 JSON 文件或 inline JSON：例如
opa eval -i input.json 'data.authz.allow' --format=pretty - 注意
input和data区别：input是请求上下文（HTTP body、headers），data是预加载的策略数据（比如用户数据库快照），别把 RBAC 规则写进input里 - Go 里构造请求时，
input必须是 map[string]interface{} 或 struct，不能是 []byte —— SDK 会静默失败，日志里也不报错
策略决策返回 undefined 而不是 true/false 怎么办
这是 Rego 最常被忽略的语义：没有匹配规则时结果就是 undefined，Go SDK 默认把它转成 nil，而不是布尔值。你的 if 判断直接崩了。
立即学习“go语言免费学习笔记（深入）”；
- 策略里必须用
default allow = false显式兜底，不能只写allow { ... } - Go 侧检查结果时别直接
if resp.Result == true，先做类型断言：if result, ok := resp.Result.(bool); ok && result - 复杂策略建议开启
explain: full调试模式，看 OPA 实际走了哪条规则分支，而不是猜逻辑
最麻烦的其实是策略版本和 Go 服务版本不同步——OPA bundle 更新了，但 Go 应用还缓存着旧的 decision log schema，这时候返回字段名对不上，错误信息又特别含糊。上线前务必用真实 input 数据跑一次 end-to-end 验证。
