CEL-go项目中如何禁用字符串转换与列表/字符串连接功能

在Google开源的CEL（Common Expression Language）项目中，CEL-go作为Go语言实现版本，提供了强大的表达式求值能力。近期社区讨论了一个关于运行时禁用特定操作符的功能需求，本文将深入解析这一技术实现方案。

背景与需求

在表达式求值场景中，有时需要限制某些操作以增强安全性或符合特定业务约束。典型需求包括：

1. 禁用字符串类型转换（string()函数）
2. 禁用字符串连接操作（+运算符）
3. 禁用列表连接操作（+运算符）

这些限制在跨语言CEL实现（如CEL-cpp）中已有支持，需要在CEL-go中保持一致性。

技术实现方案

核心解决方案：LibrarySubset配置

CEL-go提供了灵活的配置系统，可以通过创建库子集并排除特定函数来实现操作限制：

celLibSubset := env.NewLibrarySubset().AddExcludedFunctions(
    []*env.Function{
        {
            Name: operators.Add, 
            Overloads: []*env.Overload{
                {ID: overloads.AddBytes},
                {ID: overloads.AddList},
                {ID: overloads.AddString},
            },
        },
        {Name: overloads.TypeConvertString},
    }...,
)

这段代码明确排除了三类操作：

• 字节数组相加（AddBytes）
• 列表连接（AddList）
• 字符串连接（AddString）
• 字符串类型转换（TypeConvertString）

完整环境配置

构建完整的环境配置需要组合标准库子集和自定义变量：

celConfig := env.NewConfig("custom-env").
    SetStdLib(celLibSubset).
    AddVariables(
        // 声明需要的变量
    )

customEnv, err := cel.NewCustomEnv(cel.FromConfig(celConfig))

重要注意事项

当从外部获取AST（抽象语法树）时，必须显式执行检查阶段才能捕获违反限制的表达式：

func CreateCheckedProgram(ast *cel.Ast) (cel.Program, error) {
    checkedAst, issues := env.Check(ast)
    if issues != nil {
        return nil, fmt.Errorf("AST检查错误: %v", issues)
    }
    prg, err := env.Program(checkedAst)
    if err != nil {
        return nil, fmt.Errorf("程序创建错误: %v", err)
    }
    return prg, nil
}

技术原理分析

1. 操作符重载机制：CEL通过函数重载实现运算符的多态性，+运算符根据操作数类型分别对应不同实现
2. 类型系统集成：字符串转换作为特殊类型转换操作，在类型系统中具有独立标识符
3. 静态检查阶段：禁用操作的实际效果在静态检查阶段而非运行时生效，更符合安全预期

扩展讨论

虽然当前方案可行，但从API设计角度考虑，直接提供以下配置选项会更直观：

cel.DisableStringConversion()
cel.DisableStringConcat()
cel.DisableListConcat()

这种设计：

• 更符合最小惊讶原则
• 降低配置复杂度
• 提高代码可读性
• 便于与其他CEL实现保持API一致性

最佳实践建议

1. 对于安全敏感场景，建议同时禁用这三类操作
2. 在跨语言项目中使用CEL时，应在各实现中保持相同的限制配置
3. 单元测试中应包含对禁用操作的负面测试用例
4. 考虑将环境配置工厂化，确保不同模块使用一致的约束条件

总结

CEL-go通过灵活的库配置系统实现了对特定操作的禁用，虽然当前需要显式排除函数重载，但提供了细粒度的控制能力。理解这一机制有助于开发者在安全关键场景中有效约束表达式能力，同时为可能的API改进提供了技术基础。随着CEL生态的发展，这类运行时约束配置很可能会标准化为更简洁的API形式。