Helm Chart 构建器

mychart/
   ├── Chart.yaml              # Chart 元数据和依赖
   ├── values.yaml             # 默认配置
   ├── values.schema.json      # 可选：用于 values 验证的 JSON Schema
   ├── .helmignore             # 排除在打包之外的文件
   ├── templates/
   │   ├── _helpers.tpl        # 命名模板和助手函数
   │   ├── deployment.yaml     # 工作负载资源
   │   ├── service.yaml        # 服务暴露
   │   ├── ingress.yaml        # Ingress (如果适用)
   │   ├── serviceaccount.yaml # ServiceAccount
   │   ├── hpa.yaml            # HorizontalPodAutoscaler
   │   ├── pdb.yaml            # PodDisruptionBudget
   │   ├── networkpolicy.yaml  # NetworkPolicy
   │   ├── configmap.yaml      # ConfigMap (如果需要)
   │   ├── secret.yaml         # Secret (如果需要)
   │   ├── NOTES.txt           # 安装后的使用说明
   │   └── tests/
   │       └── test-connection.yaml
   └── charts/                 # 子 chart (依赖)

元数据
   ├── apiVersion: v2 (仅限 Helm 3 —— 绝不要用 v1)
   ├── name: 与目录名称完全一致
   ├── version: se

4. 生成带有文档的 values.yaml
   - 每个值都应有解释用途和类型的行内注释
   - 提供适用于开发环境的合理默认值
   - 易于覆盖的结构（尽可能扁平，仅在逻辑必要时嵌套）
   - 不包含硬编码的集群特定值（如镜像仓库、域名、存储类）

5. 验证

### /helm:review — Chart 分析

1. 检查 Chart 结构
| 检查项 | 严重程度 | 修复方案 |
   |-------|----------|-----|
   | 缺失 _helpers.tpl | 高 | 为通用标签和选择器创建 helpers |
   | 缺失 NOTES.txt | 中 | 添加安装后的操作指南 |
   | 缺失 .helmignore | 低 | 创建该文件以排除 .git、CI 文件和测试文件 |
   | Chart.yaml 字段缺失 | 中 | 添加 description, appVersion, maintainers |
   | 模板中存在硬编码值 | 高 | 提取到 values.yaml 并设置默认值 |
2. 检查模板质量
| 检查项 | 严重程度 | 修复方案 |
   |-------|----------|-----|
   | 缺失标准标签 | 高 | 通过 _helpers.tpl 使用 app.kubernetes.io/* 标签 |
   | 缺失资源请求/限制 (requests/limits) | 紧急 | 在 values.yaml 中添加带有默认值的 resources 部分 |
   | 硬编码镜像标签 | 高 | 使用 {{ .Values.image.repository }}:{{ .Values.image.tag }} |
   | 缺失 imagePullPolicy | 中 | 默认为 IfNotPresent 且可覆盖 |
   | 缺失存活/就绪探针 (liveness/readiness probes) | 高 | 添加路径和端口可配置的探针 |
   | 缺失 Pod 反亲和性 (anti-affinity) | 中 | 为实现高可用 (HA) 添加首选反亲和性 |
   | 模板代码重复 | 中 | 提取到 _helpers.tpl 的命名模板中 |
3. 检查 values.yaml 质量

4. 生成评审报告

### /helm:security — 安全审计

1. Pod 安全审计
| 检查项 | 严重程度 | 修复方案 |
   |-------|----------|-----|
   | 缺失 securityContext | 紧急 | 添加 runAsNonRoot, readOnlyRootFilesystem |
   | 以 root 身份运行 | 紧急 | 设置 runAsNonRoot: true, runAsUser: 1000 |
   | 根文件系统可写 | 高 | 设置 readOnlyRootFilesystem: true 并为 tmp 分配 emptyDir |
   | 保留所有 Capabilities | 高 | 丢弃 (Drop) ALL，仅添加必要的特定能力 |
   | 特权容器 (Privileged) | 紧急 | 设置 privileged: false，使用特定能力 |
   | 缺失 seccomp 配置 | 中 | 设置 seccompProfile.type: RuntimeDefault |
   | allowPrivilegeEscalation 为 true | 高 | 设置 allowPrivilegeEscalation: false |
2. RBAC 审计
| 检查项 | 严重程度 | 修复方案 |
   |-------|----------|-----|
   | 缺失 ServiceAccount | 中 | 创建专用 SA，不要使用 default |
   | automountServiceAccountToken 为 true | 中 | 除非 Pod 需要访问 K8s API，否则设为 false |
   | 使用 ClusterRole 代替 Role | 中 |
除非需要集群范围权限，否则请使用命名空间范围的 Role |
   | 通配符权限 | 严重 | 使用具体的资源名称和谓词 (verbs) |
   | 完全没有 RBAC | 低 | 如果 Pod 不需要访问 K8s API 则可接受 |
3. 网络与密钥审计
| 检查项 | 严重程度 | 修复方案 |
   |-------|----------|-----|
   | 无 NetworkPolicy | 中 | 添加默认拒绝 (default-deny) 入站规则 + 明确的允许规则 |
   | Secrets 存在于 values.yaml 中 | 严重 | 使用 external secrets operator 或 sealed-secrets |
   | 无 PodDisruptionBudget | 中 | 为高可用 (HA) 工作负载添加带有 minAvailable 的 PDB |
   | hostNetwork: true | 高 | 除非绝对必要（如 CNI 插件），否则请移除 |
   | hostPID 或 hostIPC | 严重 | 严禁在应用 Chart 中使用 |
4. 生成安全报告

---

工具链
scripts/chart_analyzer.py
用于 Helm Chart 目录静态分析的 CLI 工具。
功能：
Chart 结构验证（必需文件、目录布局）

模板反模式检测（硬编码值、缺失标签、无资源限制）

Chart.yaml 元数据检查

标准标签验证 (app.kubernetes.io/*)

安全基线检查

支持 JSON 和文本输出

用法：

### scripts/values_validator.py
用于根据最佳实践验证 values.yaml 的 CLI 工具。
功能：
文档覆盖率检查（行内注释）

类型一致性检查

硬编码密钥检测

默认值质量分析

结构深度分析

命名规范验证

支持 JSON 和文本输出

用法：

---
模板模式
模式 1：标准标签 (_helpers.tpl)

### 模式 2：条件资源

st: {{ .host | quote }}
      http:
        paths:
          {{- range .paths }}
          - path: {{ .path }}
            pathType: {{ .pathType }}
            backend:
              service:
                name: {{ include "mychart.fullname" $ }}
                port:
                  number: {{ $.Values.service.port }}
          {{- end }}
    {{- end }}
{{- end }}

spec:
  serviceAccountName: {{ include "mychart.serviceAccountName" . }}
  automountServiceAccountToken: false
  securityContext:
    runAsNonRoot: true
    runAsUser: 1000
    fsGroup: 1000
    seccompProfile:
      type: RuntimeDefault
  containers:
    - name: {{ .Chart.Name }}
      securityContext:
        allowPrivilegeEscalation: false
        readOnlyRootFilesystem: true
        capabilities:
          drop:
            - ALL
      image: "{{ .Values.image.repository }}:{{ .Values.image.tag | default .Chart.AppVersion }}"
      imagePullPolicy: {{ .Values.image.pullPolicy }}
      resources:
        {{- toYaml .Values.resources | nindent 8 }}
      volumeMounts:
        - name: tmp
          mountPath: /tmp
  volumes:
    - name: tmp
      emptyDir: {}

结构 (STRUCTURE)
├── 扁平化优于深层嵌套 (image.tag > container.spec.image.tag)
├── 按资源分组 (service.*, ingress.*, resources.*)
├── 对可选资源使用 enabled: true/false
├── 为每个键提供 YAML 行内注释
└── 提供合理的开发默认值
命名 (NAMING)
├── 键名使用小驼峰式 (camelCase，如 replicaCount 而非 replica_count)
├── 布尔键：使用形容词 (enabled, required) 而非动词
├── 嵌套键：最大深度 3 层
└── 遵循上游约定 (image.repository, image.tag, image.pullPolicy)
反模式 (ANTI-PATTERNS)
├── 硬编码集群 URL 或域名
├── 将 Secret 作为默认值
├── 在应为 null 的地方使用空字符串
├── 过深的嵌套结构 (>3 层)
├── 缺乏文档说明的 values
└── values.yaml 在没有覆盖 (override) 的情况下无法运行

子 Chart (SUBCHARTS)
├── 使用 Chart.yaml 的 dependencies (而非 requirements.yaml — Helm 3)
├── 固定版本：version: ~15.x.x (补丁版本浮动)
├── 使用 condition 使其可选：condition: postgresql.enabled
├── 使用 alias 以支持同一 Chart 的多个实例
├── 在 values.yaml 的子 Chart 名称键下覆盖其值
└── 在打包前运行 helm dependency update
库 Chart (LIBRARY CHARTS)
├── Chart.yaml 中设置 type: library — 不含 templates 目录
├── 仅导出命名模板 (named templates) — 不产生渲染资源
├── 用于共享标签 (labels)、注解 (annotations) 和安全上下文 (security contexts)
└── 版本独立于应用 Chart 进行管理

git clone

### 多工具安装

### OpenClaw