opa.Build报“no bundle found”因只认.rego文件，不支持.tar.gz；线上应使用bundle.Manager，测试才用opa.Build且须传单个.rego路径。
用 opa.Build 加载策略时为什么总报 "no bundle found"
因为 opa.Build 默认只认 .rego 文件，不自动解压或识别 .tar.gz bundle —— 它不是为线上部署设计的，而是测试/嵌入式场景用的简易加载器。你传进去一个压缩包路径，它直接当普通文件读，自然找不到策略。
- 线上服务该用
bundle.NewManager+bundle.NewFileLoader，它会自动解压、校验、热更新 - 本地快速验证策略逻辑，才用
opa.Build，且必须传单个.rego文件路径（比如"policy/authz.rego"） - 如果硬要用
opa.Build加 bundle，得先手动解压，再指定--bundle参数（但 Go SDK 不支持该参数，只能走 CLI 或改用bundle.Manager）
在 HTTP handler 里调用 topdown.Eval 前必须做哪些初始化
直接 new 一个 topdown.Eval 会 panic：它依赖已编译的 ast.Module 和带缓存的 storage.Store，而这两者不能临时拼凑。
- 先用
ast.ParseModule解析策略源码（或从bundle.Manager获取已加载模块） - 用
compile.NewCompiler().Compile()编译成*ast.Compiler，这是后续所有 eval 的核心依赖 - 创建
storage.NewStorage()实例，并确保它和 compiler 生命周期对齐；若需数据隔离（如多租户），每个请求应新建storage.NewStorage()，但代价高，更常用的是复用 store + 用storage.NewTransaction控制 scope - 别漏掉
compiler.GetCompiler().GetCompiler()这种嵌套调用——新版 OPA Go SDK 的compiler类型变了，直接取compiler.Modules是空的
opa.Server 和自己手写 HTTP wrapper 哪个更适合生产
opa.Server 是 OPA 官方提供的轻量 HTTP 封装，但它默认监听 localhost:8181、无 TLS、无认证、不支持自定义中间件，且日志和 metrics 暴露能力弱。它适合 demo 或本地调试，不适合接入现有网关体系。
- 生产环境建议绕过
opa.Server，用标准net/http写 wrapper：可加 JWT 验证、请求限流、OpenTelemetry trace 注入 - 策略决策接口应统一返回
map[string]interface{}而非原始topdown.ResultSet，避免把 OPA 内部结构暴露出去 - 若已有 Istio 或 Envoy，优先用它们的 WASM 或 ext_authz 集成 OPA，而不是暴露独立 HTTP 端口
-
opa.Server的/v1/data接口不校验输入 schema，容易因字段缺失导致静默 false，手写 wrapper 可提前用jsonschema库做 input 校验
策略变更后如何不重启服务就生效
靠 bundle.Manager 的轮询机制，但默认配置下它不会自动重载 —— 你得显式调用 manager.Refresh()，而且要处理好并发：多个 goroutine 同时调用可能引发 panic。
立即学习“go语言免费学习笔记（深入）”；
- 启动时设
bundle.Config.Polling.MinDelaySeconds = 30（别设 0，会打爆策略服务） - 在
manager.Start()后单独起 goroutine 调用manager.Refresh()，别塞进 HTTP handler - 每次
Refresh()成功后，要重新生成*ast.Compiler并替换旧引用，老的compiler对象不会自动更新 - 注意 bundle 中的
decision_logs配置会影响内存占用，线上务必关掉或发到外部系统，否则 log buffer 积压会导致 GC 压力飙升
