在C#项目中实现细粒度的文件访问授权，OpenPolicyAgent（OPA）的Rego策略是一种声明式且易于维护的方案。通过把授权逻辑从业务代码剥离到Rego文件，我们可以在不变更程序的情况下调整权限规则。下面介绍如何在C#中加载Rego文件并用它判断某个用户能否访问特定文件。
一、准备Rego策略文件
Rego是OPA的专用策略语言，语法接近Datalog，适合表达“谁在什么条件下能做什么”的授权规则。我们先编写一个简单的策略文件，用来控制文件读取权限。假设系统中有普通用户和管理员，只有管理员能读取位于/etc/secrets下的文件。
下面是一段示例Rego，保存在项目目录的policy/file_auth.rego中。它定义了一个包fileauth，并在allow规则中根据输入的用户角色和文件路径做判断。注意Rego中使用input作为统一的数据入口，这与C#传入的匿名对象相对应。
package fileauth
# 默认拒绝，allow为false时即拒绝
default allow = false
# 管理员可以访问任何文件
allow {
input.user.role == "admin"
}
# 普通用户只能访问自己目录下的文件
allow {
input.user.role == "user"
startswith(input.path, "/home/" + input.user.name + "/")
}
# 禁止访问系统密钥目录
allow = false {
startswith(input.path, "/etc/secrets")
}
二、在C#中加载Rego文件
要在C#中执行Rego，我们需要一个能够解析和运行Rego的引擎。社区中常用的方案是OPAL的客户端或基于WASM的OPA嵌入式运行时，但更轻量的选择是使用PolicyEngine这类支持Rego的.NET库。这里以伪代码风格展示如何读取文件并构建策略对象，真实库可能命名略有不同，但流程一致。
第一步是将Rego文件作为嵌入资源或物理文件读取为字符串。使用File.ReadAllText可以避免硬编码策略，方便运维人员替换规则。随后我们把字符串传给策略编译器，生成可复用的模块实例。下面的C#代码演示了基础加载过程。
using System;
using System.IO;
using PolicyEngine; // 示例库，实际请引用具体Rego运行时
class PolicyLoader
{
public static Policy LoadFileAuthPolicy(string regoPath)
{
// 读取Rego文件内容
string regoText = File.ReadAllText(regoPath);
// 编译Rego文本为策略实例
var policy = new Policy(regoText);
return policy;
}
}
这种加载方式把策略与代码解耦，当安全团队更新了file_auth.rego后，只需重启应用或提供热加载接口即可生效。比起在C#里写大量if-else，Rego文件更直观，也方便非开发人员审阅。
三、构造输入并执行授权判断
Rego策略依赖input数据做决策，因此C#侧要把文件访问上下文序列化为策略期望的结构。通常包含用户对象（名称、角色）和请求的动作及路径。我们可以用匿名类型配合JSON序列化，让策略引擎反序列化为Rego的字典。
执行时调用策略实例的评估方法，并指定查询规则为data.fileauth.allow。如果返回真值则允许访问，否则拒绝。下面的示例展示了一次文件读取请求的判断流程，并加入了默认拒绝的兜底处理。
using System;
using PolicyEngine;
class FileAuthService
{
private Policy _policy;
public FileAuthService(Policy policy)
{
_policy = policy;
}
public bool CanAccess(string userName, string role, string filePath)
{
// 构造与Rego input对应的数据
var input = new
{
user = new { name = userName, role = role },
path = filePath,
action = "read"
};
// 执行Rego规则，查询allow
var result = _policy.Evaluate("data.fileauth.allow", input);
// 若结果非true，统一视为拒绝
return result == true;
}
}
在真实文件操作前调用CanAccess即可实现授权拦截。比如用户在界面点击打开/home/alice/report.txt时，若角色是user且文件名前缀匹配，策略返回真，文件流才会被打开。这种机制把权限漏洞风险降到最低。
四、错误处理与最佳实践
加载和执行Rego并非总能成功，例如文件格式错误、规则包名不匹配都会导致运行时异常。生产环境中应当捕获编译异常并记录日志，同时在策略文件缺失时退回至“全部拒绝”的fail-close模式，防止未授权访问。
另一个实践是将Rego文件设为嵌入资源，避免部署时遗漏。还可以编写单元测试，用多组输入输出验证策略覆盖度。下表对比了本地加载Rego与远程调用OPA服务的差异，帮助你在架构选型时权衡。
| 方式 | 延迟 | 部署复杂度 | 适用场景 |
|---|---|---|---|
| 本地加载Rego | 极低，无网络开销 | 低，仅引用库 | 单机工具、内网应用 |
| 远程OPA服务 | 受网络影响 | 高，需维护服务 | 多语言微服务统一鉴权 |
综上，C#通过读取Rego文件并在本地引擎中评估，就能以声明式手段完成文件访问授权。它兼顾了灵活性和安全性，是传统权限硬代码的有力替代。
C#OpenPolicyAgentRego策略修改时间：2026-08-03 08:03:29