beego后端通过client-go对接kubernetes api，需按环境加载rest.config、委托鉴权、透传api server错误，并用定制bee工具支持审计与rbac。
Beego 后端如何对接 Kubernetes API
Wayne 项目里 Beego 并不直接“管理”集群，而是通过 client-go 封装的 SDK 与 Kubernetes API Server 通信。你不能把 kubeconfig 文件直接丢给 Beego 框架用，必须由后端代码加载并初始化 REST client。
常见错误是直接在 Beego 的 main.go 或控制器里硬编码 rest.InClusterConfig()，但没处理非 in-cluster 场景（比如本地调试）——结果一换环境就 panic：open /var/run/secrets/kubernetes.io/serviceaccount/token: no such file or directory。
- 生产部署时，Beego 应以 ServiceAccount 身份运行，挂载
serviceaccounttoken 和 ca.crt 到容器内路径（如/var/run/secrets/kubernetes.io/serviceaccount/） - 开发阶段建议走 kubeconfig 文件方式，用
clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig")，并在配置中区分环境（如通过APP_ENV=dev/prod） - 务必检查
rest.Config的Host字段是否可访问：API Server 地址需对 Beego Pod 网络可达，若跨集群或使用公网 LB，注意 TLS 证书校验（TLSClientConfig.Insecure仅限测试）
Beego 路由如何透传 Kubernetes 资源操作
Wayne 的典型模式是：前端发一个 POST /api/v1/namespaces/default/deployments 请求，Beego 控制器收到后，不自己解析 YAML，而是调用 clientset.AppsV1().Deployments("default").Create() 直接提交到 API Server。
容易忽略的是资源命名空间和权限校验。Beego 控制器拿到请求体后，如果直接用 json.Unmarshal 解成 unstructured.Unstructured，再调 Create()，会跳过 RBAC 检查——因为操作主体是 ServiceAccount，不是最终用户。Wayne 用的是“委托鉴权”：先用用户 Token 向 API Server 的 /apis/authorization.k8s.io/v1/selfsubjectaccessreviews 发起审查请求，确认允许后再执行。
- 不要在 Beego 中自行做 YAML schema 校验（比如用
validator包），Kubernetes API Server 本身会返回明确的Invalid错误，Beego 只需透传状态码和status.reason - 若需支持多集群，
clientset实例不能全局复用，应按集群维度缓存（key 为 cluster ID），避免 credential 混淆 - 创建资源时，
metadata.namespace必须显式从请求路径或 body 提取，不能默认设为default；否则用户指定/namespaces/prod/deployments却创建到 default 下
Beego + MySQL 如何存储 Kubernetes 操作审计日志
Wayne 的审计模块（Worker 组件）依赖 RabbitMQ 异步消费事件，但 Beego 主服务本身只负责写入原始操作记录到 MySQL 表 audit_logs。这张表字段设计直接影响查询性能和审计合规性。
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
典型坑是把整个 requestBody（YAML/JSON 字符串）塞进 TEXT 字段却不建索引，导致查某用户某天的所有 Deployment 操作时全表扫描。另外，user_id 若只存登录态中的用户名字符串，而非关联 users 表主键，后期做 LDAP/OAuth 迁移时无法追溯真实身份。
-
audit_logs表必须有复合索引：(user_id, resource_type, created_at)，尤其当resource_type是Deployment、Pod这类高频操作对象时 -
request_body和response_body建议用MEDIUMTEXT，但实际写入前应截断超长内容（如 >1MB），避免拖慢事务 - 不要在 Beego 的
InsertOne()里手动拼 SQL，用 Beego ORM 的Insert()方法，并开启LogQueries = true观察慢查询
为什么 Wayne 要求用定制版 Bee 工具而非官方 Beego
官方 Beego v2.x 默认使用 go mod 管理依赖，但 Wayne 的定制 Bee 工具强制锁定 client-go 版本为 v0.21.0（适配 Kubernetes 1.21），且 patch 了 Beego 的 Controller.Run() 方法，插入了审计日志前置 hook 和 RBAC 鉴权拦截逻辑。
如果你用 go get github.com/beego/beego/v2 初始化项目，跑不起来 Wayne 前端——因为定制版修改了静态资源路径约定（static/ → dist/），且去掉了默认的 admin 路由中间件，这些在官方文档里根本找不到说明。
- 必须从 Wayne 仓库的
scripts/install-bee.sh下载并安装定制 Bee：curl -sfL https://raw.githubusercontent.com/Qihoo360/wayne/master/scripts/install-bee.sh | sh - 定制 Bee 编译出的二进制会自动注入
-ldflags "-X main.Version=..."，用于前端显示版本号，这个字段在官方 Beego 里不存在 - 别试图用
bee api新建项目再合并 Wayne 代码——路由注册方式、配置加载顺序、中间件链结构全都不兼容
Beego 整合 Kubernetes 不是简单的“调个 API”，真正卡点在于权限上下文传递、异步审计解耦、以及定制工具链的隐式约束。跳过定制 Bee 或绕过 selfsubjectaccessreviews 直接操作，短期能跑通，长期必然在多租户场景下丢权限或审计线索。
