sublime Text 不能原生运行或调试 OPA Rego 规则，但可通过插件实现语法高亮、格式化及配合 OPA CLI 完成本地验证与构建；需安装 Rego 插件、配置 Build System，并将规则纳入 git 和 CI/CD 流程。
sublime text 本身不直接支持云原生安全策略管理，也不能原生运行或调试 Open Policy Agent（OPA）的 Rego 规则。但它可以作为轻量、高效的文本编辑器，配合插件和外部工具链，完成 Rego 规则的编写、语法高亮、格式化与基础验证。关键在于“辅助开发”，而非替代 OPA CLI 或 Bundles 服务。
安装 Rego 语言支持插件
Sublime 默认不识别 .rego 文件。需手动添加语法高亮支持：
- 打开 Package Control（
Ctrl+Shift+P/Cmd+Shift+P），输入Install Package，回车 - 搜索并安装 Rego（作者：mattfoster）或 SublimeRego
- 安装后，新建文件 → Save As → 命名为
policy.rego，Sublime 会自动关联 Rego 语法 - 可选：设置默认语法为 Rego —— View → Syntax → Open all with current extension as… → Rego
编写符合云原生场景的 Rego 规则示例
以 kubernetes Pod 安全策略为例，用 Rego 约束容器不能以 root 用户运行：
package kubernetes.admission <p>import input.request.Object as pod</p><h1>拒绝 root 运行的容器</h1><p>deny[msg] { container := pod.spec.containers[_] container.securityContext.runasUser == 0 msg := sprintf("Container '%s' runs as root (runAsUser=0), which violates pod security policy", [container.name]) }</p><h1>允许特权模式显式关闭（增强防御纵深）</h1><p>warn[msg] { container := pod.spec.containers[_] container.securityContext.privileged == true msg := sprintf("Container '%s' runs in privileged mode – review for necessity", [container.name]) }注意：规则中使用 input.request.object 对应 Kubernetes 准入控制（Admission Review）的请求体结构；实际部署需配合 opa kube-mgmt 或 gatekeeper。
本地验证与格式检查（不依赖 Sublime 内置功能）
Sublime 不执行 Rego 编译或测试，但可通过终端快速联动验证：
- 保存
policy.rego后，在终端运行：opa eval --data policy.rego 'data.kubernetes.admission.deny' --format pretty - 用
opa test配合test_policy.rego编写单元测试（推荐每个策略配对应测试） - 借助 Sublime 的 Build System 自定义快捷键（如
Ctrl+B）调用 OPA CLI：菜单 Tools → Build System → New Build System，填入：
{ "cmd": ["opa", "eval", "--data", "$file", "data.kubernetes.admission.deny", "--format", "pretty"], "selector": "source.rego", "working_dir": "${file_path}" }保存为 Rego Eval.sublime-build，之后打开 .rego 文件即可按 Ctrl+B 快速查看 deny 输出。
与 CI/CD 和 GitOps 流程协同
Rego 规则应视为代码，纳入版本控制与自动化流水线：
- 将
policy/目录下的所有.rego和test_*.rego提交至 Git 仓库 - CI 中用
opa test policy/ --coverage强制覆盖率达标（如 ≥ 90%）才允许合并 - 搭配 Conftest 或 Styra DAS 实现策略即代码（Policy-as-Code）可视化与策略分发
- Sublime 可配合 Git 插件（如 GitSavvy）快速查看 diff、提交策略变更
基本上就这些。Sublime 是趁手的“刻刀”，真正起作用的是 Rego 的表达力 + OPA 的引擎 + 云原生平台的集成能力。