后端认证鉴权云原生【免费下载链接】opaOpen Policy Agent (OPA) is an open source, general-purpose policy engine.项目地址https://gitcode.com/gh_mirrors/op/opa点击查看免费下载本文以 Open Policy AgentOPA官方示例库中的now_ns/past示例为骨架讲解如何在 Rego 策略中把 RFC3339 格式的时间戳转换为纳秒、并与当前时间比较从而判断该时间戳是否属于过去。读完本文你将掌握time.now_ns、time.parse_rfc3339_ns、time.parse_ns三个时间内置函数的用法与底层实现原理并能独立写出过期判断时间段过滤等实战策略。示例目标判断一个 RFC3339 时间戳是否在过去OPA 官方文档在 docs/docs/policy-reference/_examples/time/now_ns/past/intro.md 中给出了一个最小可运行的示例把一个 RFC3339 格式的时间戳与当前时间比较判定该时间戳是否已经过去。该示例位于 docs/docs/policy-reference/_examples/time/now_ns/past/包含完整的一组成品文件文件作用policy.rego示例策略本体定义了parsed_time与in_past两个规则input.json输入数据携带一个 RFC3339 时间字符串output.json在给定输入下期望得到的查询结果data.json附加数据本例为空对象{}说明该示例不依赖任何外部数据config.json演示站点渲染配置showInput: true展示输入面板title.txt示例标题 Check if a time is in the past整个示例演示了三件核心事实判断过去不需要任何数据依赖仅需把输入时间戳与当前时间做一次比较其他格式的时间字符串可先用time.parse_ns按指定格式转换为纳秒再参与比较在 Rego 中比较时间与比较普通数字没有区别——直接使用和运算符。完整策略与输入输出策略代码policy.regopackage play parsed_time : time.parse_rfc3339_ns(input.time) in_past if parsed_time time.now_ns()解析这条规则time.parse_rfc3339_ns(input.time)把input.time中的 RFC3339 时间字符串解析为自 Unix 纪元1970-01-01T00:00:00Z以来的纳秒数结果绑定到parsed_timein_past if parsed_time time.now_ns()用比较解析出的纳秒数与time.now_ns()返回的当前时间纳秒数。若parsed_time更小说明该时间戳早于当前时刻即在过去此时in_past求值为true。输入input.json{ time: 2024-07-02T13:14:46.878235008Z }这里的时间字符串带纳秒精度.878235008Z且带Z后缀表示 UTC 时区符合 RFC3339 规范。期望输出output.json{ in_past: true, parsed_time: 1719926086878235008 }输出包含两个结果parsed_time1719926086878235008纳秒即 2024-07-02T13:14:46.878235008Z 对应的 Unix 纳秒时间戳in_pasttrue表示相对策略执行时刻该时间戳已经过去。注意这里in_past的取值依赖当前时间只要当前时刻晚于 2024-07-02结果即为true。这是一个随时间变化的动态判定而非静态常量。三个核心时间内置函数示例用到的三个函数在源码中均有明确定义见 v1/ast/builtins.go 与实现文件 v1/topdown/time.go。time.now_ns()获取当前时间纳秒定义于 v1/ast/builtins.go#L2443-L2452签名如下time.now_ns() now (number)返回自 Unix 纪元以来的当前时间纳秒数在源码中该内置函数被显式标记为Nondeterministic: true因为它直接依赖真实时钟每次调用结果不同在 v1/topdown/time.go#L118-L120 中的实现极其简单直接返回求值上下文BuiltinContext中注入的时间bctx.Time。由于它依赖上下文时间而非真实系统时钟因此 OPA 允许在测试与查询时注入固定时间实现确定性复现见下文可测试性一节。time.parse_rfc3339_ns(value)解析 RFC3339 字符串定义于 v1/ast/builtins.go#L2467-L2477time.parse_rfc3339_ns(value) ns (number)入参为 RFC3339 格式的时间字符串出参为纳秒数底层实现v1/topdown/time.go#L147-L159直接调用 Go 标准库time.Parse(time.RFC3339, value)若字符串格式非法函数返回错误所在表达式求值失败undefined。time.parse_ns(layout, value)按自定义格式解析定义于 v1/ast/builtins.go#L2454-L2465time.parse_ns(layout, value) ns (number)第一个参数layout是格式字符串遵循 Gotime包的参考时间2006-01-02布局约定例如2006-01-02表示YYYY-MM-DD第二个参数value为待解析的时间字符串实现位于 v1/topdown/time.go#L122-L145OPA 还内置了常用格式常量ANSIC、RFC822、RFC822Z、RFC3339等见 v1/topdown/time.go#L175-L181 附近的acceptedTimeFormats表当layout命中常量名时会自动替换为标准 Go 格式。官方示例 docs/docs/policy-reference/_examples/time/parse_ns/time_format/policy.rego 展示了该函数的典型用法package time_format ts : 1985-10-27 result : time.parse_ns(2006-01-02, ts)intra.mddocs/docs/policy-reference/_examples/time/parse_ns/time_format/intro.md对此的说明是在 OPA 中简单的YYYY-MM-DD时间戳可以这样解析。这正是原文档所提示的如果你持有其他格式的时间先用time.parse_ns转成纳秒的实际落点。为什么比较时间要用纳秒Rego 语言本身没有独立的时间类型时间在 OPA 中统一以Unix 纳秒整数表示。这样设计的好处可直接比较纳秒是单调递增的整数、、等运算符天然可用与比较普通数字一致无需特殊的日期比较语义可算术运算两个纳秒值可以直接相减得到时间差也可以与time.add_date、time.diff等函数配合这些函数的注册见 v1/topdown/time.go#L412-L421精度足够纳秒精度可以覆盖绝大多数策略场景如访问令牌过期、会话有效期、窗口期判断等。边界与限制int64 可表示的时间范围虽然纳秒表示法很便利但它受限于 Go 的int64整数范围。源码 v1/topdown/time.go#L28-L32 中明确给出// 1677-09-21T00:12:43.145224192-00:00 minDateAllowedForNsConversion time.Unix(0, math.MinInt64) // 2262-04-11T23:47:16.854775807-00:00 maxDateAllowedForNsConversion time.Unix(0, math.MaxInt64)即纳秒转换只在1677-09-21 至 2262-04-11之间有效。toSafeUnixNanov1/topdown/time.go#L110-L116在转换前会做范围检查超出范围返回错误time outside of valid range。time.parse_ns与time.parse_rfc3339_ns的官方文档说明也一致如果结果超出 int64 可容纳的有效时间范围函数返回 undefined见 v1/ast/builtins.go#L2456 与 v1/ast/builtins.go#L2469。日常业务时间如 2024、2025 年远在此范围内无需担心。可测试性注入时钟让策略确定性复现time.now_ns()依赖上下文时间bctx.Time这意味着 OPA 允许外部注入一个固定的当前时间用于测试。源码证据查询层Query.WithTime(x time.Time)见 v1/topdown/query.go#L246-L247注释明确写着设置time.now_ns()内置函数将返回的时间Rego 层rego.EvalTime(x time.Time)见 rego/rego.go#L145-L149注释同样说明time.now_ns()调用将返回该值测试用例v1/topdown/time_test.go#L15-L45 的TestTimeSeeding用固定时钟clock : time.Now()构造查询time.now_ns(x)断言返回的x与clock.UnixNano()完全相等部分求值partial evaluation相关的测试还验证了time.now_ns()作为非确定性内置函数不会被随意提前算死见 v1/topdown/topdown_partial_test.go#L1707-L1712。这意味着你可以在单元测试中把当前时间固定下来让in_past的判定结果确定、可断言而不是依赖真实的墙钟时间。实战扩展时间段判断与自定义格式解析掌握了纳秒比较的核心思路后可以自然扩展出两个高频实战场景两者都来自官方示例库。场景一判断时间是否落在某个时间段内docs/docs/policy-reference/_examples/time/parse_ns/period/policy.rego 演示了用两个time.parse_ns解析起止日期再对输入时间做区间比较package play # 2006-01-02 是 YYYY-MM-DD 的 Rego 时间格式字符串 start_date : time.parse_ns(2006-01-02, 1999-01-01) end_date : time.parse_ns(2006-01-02, 2000-01-01) parsed_time : time.parse_rfc3339_ns(input.time) default allow : false allow if { parsed_time start_date parsed_time end_date }该策略同时演示了与两个方向的时间比较把allow限制在 1999-01-01 至 2000-01-01 之间。这种写法可直接迁移到折扣有效期促销窗口授权有效期等策略中。场景二结合时区与本地时间如果需要按本地时钟而非 UTC判断可参考 docs/docs/policy-reference/_examples/time/clock/local_business_hours/policy.regopackage play request_time : time.parse_ns(RFC822Z, input.request_time) local_hours : data.business_hours[input.tz] default allow : false allow if { [hour, _, _] : time.clock([request_time, input.tz]) hour local_hours.start hour local_hours.end }注意这里time.parse_ns的第一个参数直接使用了内置格式常量名RFC822Z这正是 v1/topdown/time.go#L175-L181 中acceptedTimeFormats机制的应用常量名会被自动替换为对应的 Go 标准格式字符串。随后用time.clock取出该时区下的小时数与营业时间数据data.business_hours比较判断请求是否落在营业时段内。在本地运行验证示例目录本身是展示型数据你可以在本地用 OPA CLI 复现同样的判定。将上述policy.rego与input.json放入同一目录后执行opa eval -i input.json -d policy.rego data.play其中-i input.json指定输入文档等价于策略中的input-d policy.rego加载策略文件查询data.play返回该包下全部规则结果可同时看到parsed_time与in_past。更精细地可以只查询data.play.in_pastopa eval -i input.json -d policy.rego data.play.in_past需要提醒的是由于time.now_ns()读取的是求值时刻的上下文时间in_past的布尔结果会随执行时刻变化——示例output.json中的true是相对当时的当前时间得出的。若要得到确定性的结果应通过rego.EvalTimeGo SDK或测试框架注入固定时钟。小结围绕官方示例 docs/docs/policy-reference/_examples/time/now_ns/past/本文完整覆盖了以下要点核心判定time.parse_rfc3339_ns(input.time) time.now_ns()即可判断 RFC3339 时间戳是否在过去统一表示时间在 Rego 中一律以 Unix 纳秒整数表示因此可以直接用、比较格式转换非 RFC3339 格式用time.parse_ns(layout, value)转换layout 支持 Go 布局字符串与内置格式常量名底层原理三个函数的声明位于 v1/ast/builtins.go实现位于 v1/topdown/time.gotime.now_ns()被标记为非确定性内置函数实际读取求值上下文注入的时间边界限制纳秒转换受 int64 限制有效范围约为 1677-09-21 至 2262-04-11超出返回 undefined可测试性通过WithTime/EvalTime注入固定时钟可实现确定性断言见 v1/topdown/time_test.go扩展场景结合time.parse_ns与time.clock可进一步实现时间段判断、营业时间窗口等实战策略。赞分享后端认证鉴权云原生【免费下载链接】opaOpen Policy Agent (OPA) is an open source, general-purpose policy engine.项目地址https://gitcode.com/gh_mirrors/op/opa点击查看免费下载相关推荐OPA/Rego 时间区间判断用 time.parse_ns 检查时间是否落在指定时间段内OPA/Rego 时间区间判断用 time.parse_ns 检查时间是否落在指定时间段内 本文基于 Open Policy Agent OPA 仓库中的官方后端认证鉴权云原生Akkudoktor EOS时间比较时间容差与近似相等判断Akkudoktor EOS时间比较时间容差与近似相等判断 引言能源优化系统中的时间精度挑战 在能源管理系统EMS中时间精度是确保预测准确性和优化效果后端智能家居OPA Rego 时间戳解析实战使用 time.parse_ns 将日期字符串转为纳秒时间戳OPA Rego 时间戳解析实战使用 time.parse_ns 将日期字符串转为纳秒时间戳 导读 本文以 Open Policy AgentOPA官方后端认证鉴权云原生创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考