必须通过limitrange设默认值并配合validatingadmissionpolicy强制校验，才能既补全又禁止无limits的pod创建：前者为后者提供默认值基础，后者在api层拦截不满足limits.memory和limits.cpu的提交。
在Kubernetes集群中防止未设置内存或CPU限制的Pod被创建，避免因单个容器无约束占用资源导致节点OOM或调度混乱，必须通过准入控制机制拦截非法YAML提交。
用LimitRange设置命名空间默认资源限制
这一步是基础防护，让没写resources字段的Pod自动获得兜底值，但它不能阻止提交，只能补全。所以仅靠LimitRange无法满足“禁止提交”的需求，但它必须先存在——否则后续的ValidatingAdmissionPolicy会因缺少默认值而拒绝所有未声明limits的Pod（即使你本意只是想报错提醒）。
创建limitrange.yaml：
apiVersion: v1
kind: LimitRange
metadata:
name: default-limits
namespace: myapp
spec:
limits:
- default:
memory: 256Mi
cpu: 100m
defaultRequest:
memory: 128Mi
cpu: 50m
type: Container
执行kubectl apply -f limitrange.yaml → 命名空间myapp中所有新创建的容器，若未显式声明resources，将自动注入上述default和defaultRequest值。
用ValidatingAdmissionPolicy强制校验limits字段
这才是真正实现“禁止提交”的核心手段。Kubernetes v1.26+原生支持ValidatingAdmissionPolicy（VAP），它能在API Server接收请求时实时校验Pod spec，不满足条件则直接返回403错误，根本不会进入调度队列。
方法一：校验每个容器都必须声明limits.memory和limits.cpu
创建policy.yaml：
apiVersion: admissionregistration.k8s.io/v1
kind: ValidatingAdmissionPolicy
metadata:
name: require-pod-limits
spec:
paramKind:
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLimits
matchConstraints:
resourceRules:
- apiGroups: [""]
apiVersions: ["v1"]
operations: ["CREATE"]
resources: ["pods"]
validations:
- expression: "object.spec.containers.all(c, c.resources.limits.memory != null && c.resources.limits.cpu != null)"
message: "每个容器必须设置limits.memory和limits.cpu"
⚠️ 注意：该策略要求所有容器同时满足两个字段非空，若只缺其中一个也会拒绝。
方法二：允许缺失requests但严禁缺失limits（更贴近生产实际）
把expression换成：
expression: "object.spec.containers.all(c, c.resources.limits != null && has(c.resources.limits.memory) && has(c.resources.limits.cpu))"
这个表达式明确检查limits对象存在、且其下memory和cpu键都已定义，比判null更严格，能防住limits: {}这种空对象写法。
绑定策略到目标命名空间
第一步：创建Constraint（约束实例）
apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLimits
metadata:
name: require-limits-in-myapp
spec:
match:
kinds:
- apiGroups: [""]
kinds: ["Pod"]
namespaces:
- myapp
第二步：应用Constraint → kubectl apply -f constraint.yaml
【生效后，任何向myapp命名空间POST Pod资源的请求，只要容器中limits.memory或limits.cpu任一字段缺失，API Server立即返回error: forbidden】
验证方式：准备一个不带limits的Pod YAML，执行kubectl apply -f bad-pod.yaml → 终端直接输出"Error from server (Forbidden): error when creating..."，Pod不会出现在etcd中，也不会触发调度器逻辑。
