Kata Containers中genpolicy模块的测试框架状态管理优化方案

背景与现状分析

在Kata Containers的安全沙箱环境中，genpolicy模块负责生成并验证安全策略。当前测试框架存在一个关键限制：每个测试用例文件(testcases.json)只能包含单一类型的Ttrpc API请求测试。这种设计在测试需要跨请求状态保持的场景时暴露出明显不足。

以容器生命周期管理为例，CreateContainerRequest创建的容器状态需要被后续的ExecProcessRequest使用。现有测试机制每次执行都会重新初始化AgentPolicy实例和Regorus策略引擎，导致跨请求状态无法保留。这种隔离性虽然保证了测试独立性，但也阻碍了对真实场景中状态依赖逻辑的验证。

技术挑战深度解析

当前架构存在两个核心约束：

1. 测试隔离机制：runtests每次执行都会销毁前次测试的完整上下文，包括策略引擎实例和内存状态
2. 策略文档冲突：genpolicy生成的策略文档都包含policy_data字段，导致多策略文档无法在同一个Regorus引擎中共存

这种设计在无状态API测试时表现良好，但对于以下场景存在缺陷：

• 容器创建后执行命令的连续操作
• 文件系统操作依赖前序操作状态
• 网络配置的渐进式变更

架构改进方案设计

核心改造思路

采用类型化枚举请求结构，通过以下技术调整实现状态保持：

enum PolicyTestRequest {
    CreateContainer(CreateContainerRequest),
    ExecProcess(ExecProcessRequest),
    CopyFile(CopyFileRequest),
    // 其他API类型...
}

测试用例结构升级

在testcases.json中引入类型标识字段：

{
    "name": "container_exec_flow",
    "type": "ExecProcess",
    "input": {...},
    "expected": {...}
}

引擎初始化优化

改造策略引擎加载机制，实现：

1. 基础策略的预加载
2. 状态数据的持久化存储
3. 跨请求上下文传递

实现价值与影响评估

该改进将带来多重收益：

1. 真实场景模拟：能够验证完整工作流而不仅是孤立操作
2. 测试效率提升：减少需要编写的测试用例数量
3. 缺陷发现能力：提前暴露状态管理相关的竞态条件问题
4. 架构扩展性：为未来更复杂的策略测试奠定基础

典型应用场景示例

以容器命令执行为例，改进后的测试流程：

1. 加载初始策略引擎
2. 执行CreateContainer测试用例 → 保存容器ID状态
3. 执行ExecProcess测试用例 → 验证基于容器ID的策略决策
4. 保持状态执行后续测试...

兼容性考虑

方案设计需注意：

• 保持现有单请求测试的兼容性
• 类型字段的默认值处理
• 状态清理的显式控制
• 测试报告的分类统计

后续演进方向

基于此改进可进一步探索：

• 自动化状态依赖分析
• 测试用例的拓扑排序
• 状态快照与回放机制
• 分布式策略的测试支持

该优化将使Kata Containers的策略测试更贴近生产环境，提升安全策略的可靠性和健壮性，为复杂场景下的策略验证提供坚实基础。