admission webhook 必须使用 https 且证书包含正确 subjectaltname（如服务 dns 和 clusterip），rules 配置需准确指定 apigroups、resources 和 scope，处理函数须严格遵循 admissionreview 结构并设置 response.uid 和 patchtype。
Admission Webhook 服务必须用 HTTPS，否则 kube-apiserver 拒绝调用
kube-apiserver 默认只通过 TLS 连接 webhook，且会严格校验服务端证书的 subjectAltName。常见错误是本地测试时用 HTTP，或证书没包含 Service DNS 名（如 my-webhook.my-namespace.svc）或 ClusterIP，导致日志里反复出现 Failed calling webhook + x509: certificate is valid for ... not ...。
实操建议：
- 用
cfssl或openssl生成证书时，subjectAltName至少包含：DNS:my-webhook.my-namespace.svc、DNS:my-webhook.my-namespace.svc.cluster.local、IP:<service-cluster-ip></service-cluster-ip> - 证书和私钥通过
Secret挂载进 Pod，不要硬编码或写死路径 - Webhook 服务启动时必须监听
tls.Listen("tcp", ":443", tlsConfig)，不能只 listen :8080 再套反向代理——kube-apiserver 不走代理
ValidatingWebhookConfiguration / MutatingWebhookConfiguration 的 rules 字段极易配错
这个字段决定哪些 API 请求会打到你的 webhook。配错最直接的表现是：请求完全没进来（日志无记录），或只对部分资源生效。关键不是“写了什么”，而是“匹配逻辑是否符合预期”。
实操建议：
-
apiGroups用[""]表示 core group（如Pods），用["apps"]表示Deployments，不能写成["apiextensions.k8s.io/v1"]—— 这是版本路径，不是 group 名 -
resources填小写复数形式：["pods"]、["deployments"]，不是Pod或deployment - 如果想匹配所有命名空间下的资源，
scope设为"*"；若只作用于特定 ns，需在namespaceSelector中用 label 匹配，而非靠namespaces字段（该字段不存在）
Webhook 处理函数必须严格遵循 AdmissionReview 的输入/输出结构
Go SDK 不提供开箱即用的 “admission handler wrapper”，你得手动解包 AdmissionReview、构造响应。常见错误包括：忘记设置 Response.UID（导致 apiserver 返回 500）、误把 Allowed 当成布尔值直接赋值（实际是 *bool）、或对 MutatingWebhook 忘记设置 Patch 和 PatchType。
Colly 是一个用于 Go 语言的快速开源爬取和爬虫框架。它适用于从简单的页面提取到异步爬虫处理大量页面集合，支持请求回调和结构化解析。
实操建议：
- 用官方
k8s.io/api/admission/v1和k8s.io/apimachinery/pkg/runtime解析请求体，别手写 JSON unmarshal - 响应中
Response.UID = req.Request.UID是强制要求，漏掉必失败 - 做 patch 时优先用
json.Marshal+jsonpatch.CreateMergePatch，避免手拼 JSON 字符串；PatchType必须设为"JSONPatch"或"MergePatch"，不能为空
本地调试时，用 hostNetwork: true + localhost 无法绕过证书校验
有人尝试在 Kind 或 Minikube 里把 webhook 服务跑在宿主机 localhost，然后在 ValidatingWebhookConfiguration 里填 http://localhost:8443，结果发现根本连不通——因为 kube-apiserver 运行在容器内，localhost 指向它自己，不是宿主机。
实操建议：
- 开发阶段推荐用
port-forward：先kubectl port-forward svc/my-webhook 8443:443 -n my-namespace，再临时改webhooks[0].clientConfig.service为host: "127.0.0.1"+port: 8443（仅限测试！） - 更稳妥的方式是用
mkcert生成带127.0.0.1的本地证书，配合hostNetwork: true+nodePort暴露服务，但要注意集群网络策略是否放行 - 永远在修改 webhook 配置后执行
kubectl get validatingwebhookconfiguration my-hook -o yaml确认clientConfig的最终内容，YAML 里看到的才是 apiserver 实际读取的
证书 SubjectAltName、rules 匹配逻辑、AdmissionReview 序列化细节，这三处出问题的概率加起来超过 80%。其他地方可以慢慢调，但这三块不先对齐，后续所有日志都只是噪音。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
