opa是独立决策服务，go侧需准确传入请求上下文并处理返回结果；推荐http client调用而非sdk嵌入，启动必须用--addr=0.0.0.0:8181暴露地址，策略须default兜底，go调用需显式设timeout、匹配service名、正确配置认证。
OPA 不是插件，也不是中间件开关，它是一套独立决策服务——Go 侧真正要做的，是把请求上下文准确喂给它，并稳稳接住返回结果。直接上结论：用 HTTP client 调用 OPA 服务比嵌入式 SDK 更可控、更贴近生产实际，尤其在云原生多服务协同场景下。
OPA 服务启动必须绑定 0.0.0.0 才能被 Go 客户端访问
本地跑 opa run 默认只监听 127.0.0.1:8181，Go 程序在容器里或另一台机器上调用时，必然报 dial tcp 127.0.0.1:8181: connect: connection refused。这不是网络策略问题，是地址没暴露。
- 开发/测试环境启动命令必须加
--addr=0.0.0.0:8181 - 生产环境必须用
--addr=https://0.0.0.0:8181+ TLS 证书，否则所有策略输入（比如用户角色、资源路径）都明文飞过网络 - 别混用
-s和--bundle却不加--watch：策略文件改了，OPA 不会自动 reload，得手动 kill 再启
Go 客户端调用 opa sdk 必须配齐三项才不超时、不空返回
官方 github.com/open-policy-agent/opa/sdk 不是“new 一下就能用”，漏一项就卡死或返回 context deadline exceeded。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
-
service名必须和 OPA 配置中services字段完全一致，比如 config.yaml 里写my-gateway-opa，SDK 初始化就得传"my-gateway-opa" -
timeout必须显式设，建议5 * time.Second：OPA server 默认无超时，但 Go 的http.Client有默认 30 秒，两边错位会导致连接挂住 - 如果 OPA 启用了 Bearer Token 认证，必须用
.WithAuthentication(sdk.NewBearerToken("xxx"))，不能靠手动塞 header——SDK 会忽略未注册的 auth 方式
opa eval 测试时 input 为空？90% 是没传 --input 或类型不对
本地验证 .rego 文件，opa eval 命令不带 --input，input 就是 nil，一访问 input.user.role 就 panic。
- 正确命令：
opa eval -i input.json 'data.authz.allow' --format=pretty -
input是运行时请求上下文（HTTP body、JWT payload），data是预加载的策略数据（如用户 DB 快照），别把 RBAC 规则写进input里 - Go 里构造
input必须是map[string]interface{}或 struct，传[]byte会静默失败，SDK 日志里连 warning 都没有
策略返回 undefined 而不是 true/false？Rego 语义坑在这儿
Rego 没匹配任何规则时返回 undefined，Go SDK 把它转成 nil，你写 if resp.Result == true 直接 panic。
- 策略文件里必须写
default allow = false显式兜底，不能只写allow { ... } - Go 侧检查结果必须先类型断言：
if result, ok := resp.Result.(bool); ok && result - 复杂策略建议启用
explain: "full"，看 OPA 实际走了哪条规则分支，而不是靠猜
真实线上服务里，最常被跳过的其实是 default 兜底和 timeout 显式配置——这两点不出问题时悄无声息，一出就是大面积超时或权限放行失控。
大量免费API接口：立即使用
涵盖生活服务API、金融科技API、企业工商API、等相关的API接口服务。免费API接口可安全、合规地连接上下游，为数据API应用能力赋能！
