重要 虽然louketo-proxy停止开发，转向oauth2proxy。但由于oauth2proxy功能太弱。不适用此场景。继续选用louk

重要 Kubernetes 升级时 API 版本变更会导致已有 YAML 无法 kubectl apply。记录 v1.16 ~ v1.25 的主要 API 弃用变更，迁移时对照检查。 v1.16 资源 旧 API 新 API NetworkPolicy extensions/v1beta1 networking.k8s.io/v1 PodSecurityPolicy extensions/v1beta1 policy/v1beta1 DaemonSet extensions/v1beta1, apps/v1beta2 apps/v1 Deployment extensions/v1beta1, apps/v1beta1/2 apps/v1 StatefulSet

重要 PodSecurityPolicy 已在 K8s 1.21 弃用、1.25 移除。 本文内容仅适用于 ≤1.24 的集群。 替代方案： 方案 说明 Pod Security Admission（内置） K8s 1.23+ 内置，通过 namespace label 设置 enforce/audit/warn

重要 ingress-nginx 启用 SSL Passthrough（证书透传）需要两步：部署时加 --enable-ssl-passthrough 参数，Ingress 对象中设 ssl-redirect: "false"。 环境说明

重要 ingress-nginx 暴露 gRPC 服务时要求必须使用 TLS。两种方案： 方案 证书位置 适用场景 gRPCS（后端 TLS） 服务端自己管理证书 微服务内部已统一证书 gRPC（

重要 nuclio 平台需要一个带认证的内部镜像仓库：构建时提供 base-image，存储 function 构建产物。使用 Helm 部署 docker-registry chart，配置 htpasswd 认证。 1. 背景 nuclio 部署依赖

重要 trivy 用于扫描容器镜像的安全漏洞。 生产环境建议将漏洞库离线部署——将漏洞库打包进 Server 端镜像，内网独立运行。安全人员根据扫描结果升级基础镜像或 buildpack

重要 由于需要配置ingress-grpc,nginx-ingress要求tls加密。实现的方式有两种：一种在ingress注解grpcs,之

重要 自签证书和合法证书最核心的区别不是加密能力，而是客户端是否默认信任签发 CA。 合法 CA 的根证书通常已预装在操作系统或浏览器中；自建 CA 需要手动

重要 Tekton 是 K8s 原生的 CI/CD 框架，通过 CRD 定义 Task、Pipeline、PipelineRun 等资源。本文记录实际使用的场景和常见坑点。 环境说明 K8s 集群

重要 利用 Go 的 init() 函数 + 匿名导入（_ "pkg"）实现编译期插件注册。新增插件只需写一个包并在入口处 import。 环境说明 Go 1.20

重要 client-go 的 scheme.Codecs.UniversalDeserializer().Decode 可以将 YAML 字符串解码为 runtime.Object。结合 --- 分割多文档 YAML，就能一次性解析 helm get manifest 的输出。 环境说明 Helm 3 Kubernetes v1.15.6 1. 核心函数