OPA项目WASM构建时多入口点元数据注解引发panic问题分析

在Open Policy Agent (OPA)项目中，当使用WASM作为目标构建策略包时，如果同时通过CLI参数和元数据注解指定多个入口点，会导致运行时panic。这个问题从v0.59.0版本开始出现，一直持续到最新版本。

问题现象

开发者在使用opa build命令构建WASM格式的策略包时，如果同时满足以下条件：

1. 使用--prune-unused标志
2. 通过CLI参数指定入口点
3. 策略文件中包含entrypoint元数据注解

系统会抛出索引越界panic，错误信息类似：

panic: runtime error: index out of range [6] with length 6

问题根源

经过分析，问题出在compile/compile.go文件的处理逻辑中。当同时通过CLI和元数据注解指定入口点时，编译器内部的两个切片c.entrypoints和c.entrypointrefs的长度会不一致。

具体来说，当编译器处理入口点时：

1. 对于CLI指定的入口点，会同时向两个切片添加元素
2. 对于元数据注解指定的入口点，可能只更新了其中一个切片
3. 在后续的WASM编译阶段，代码假设这两个切片长度相同，通过索引同时访问它们
4. 当长度不一致时，就会导致索引越界panic

复现步骤

要复现这个问题，可以创建一个简单的策略文件结构：

1. 创建一个包含entrypoint元数据注解的策略文件：

package example

# METADATA
# entrypoint: true
allow {
    input.user == "admin"
}

2. 使用以下命令构建：

opa build --prune-unused -b bundle -t wasm -e example/allow

解决方案建议

要解决这个问题，需要确保在添加入口点时，无论是通过CLI还是元数据注解，都同步更新c.entrypoints和c.entrypointrefs两个切片。可能的修复方式包括：

1. 统一入口点收集逻辑，确保两种来源的入口点都以相同方式处理
2. 在编译前验证两个切片的长度一致性
3. 重构代码结构，避免使用两个并行切片存储相关数据

影响范围

这个问题影响从v0.59.0开始的所有OPA版本，涉及所有支持WASM构建的平台（包括Linux和Mac Darwin Arm64等）。对于仅使用CLI指定入口点或仅使用元数据注解的用户不会遇到此问题。

临时规避方案

在官方修复发布前，受影响的用户可以采取以下临时方案：

1. 统一使用单一方式指定入口点（全部通过CLI或全部通过元数据注解）
2. 暂时不使用--prune-unused标志
3. 回退到v0.58.0版本

技术背景

WASM(WebAssembly)是OPA支持的一种策略执行格式，它允许策略在多种环境中高效运行。入口点(entrypoint)机制决定了哪些规则会被包含在最终构建的输出中。元数据注解提供了声明式的方式来标记入口点，而CLI参数则提供了命令式的控制方式。这两种机制本应协同工作，但在特定情况下产生了冲突。

这个问题提醒我们在设计多途径配置系统时，需要特别注意不同配置来源之间的交互和一致性保证。