应直接监听pod、deployment、daemonset和secret的创建/更新事件，通过watch+listoptions配合fieldselector和labelselector精准过滤，提取关键字段并校验危险参数组合，结合双通道机制防漏事件，严格管控rbac权限与context生命周期。
如何用 Go 监控 K8s API 中的高危资源变更
直接监听 Pod、Deployment、DaemonSet 和 Secret 的创建/更新事件，是检测可疑行为最轻量也最有效的起点。K8s 的 watch 机制天然适合这类场景，但别直接用 client-go 的泛型 Informer 套路——它默认缓存全量对象，内存和 RBAC 权限都容易超标。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 用
Watch+ListOptions指定FieldSelector过滤命名空间（如metadata.namespace!=kube-system），避免拉取系统组件干扰 - 对
Secret类型额外加LabelSelector（如security-alert=enabled），防止误报常规密钥轮转 - 每个事件只提取关键字段：
ObjectMeta.Name、ObjectMeta.Namespace、ObjectMeta.CreationTimestamp、ObjectMeta.Annotations，不深拷贝整个对象 - 注意
watch.Event.Type可能是ADDED、MODIFIED、DELETED或ERROR，ERROR要触发重连逻辑，否则静默断连
识别容器启动时的危险参数组合
攻击者常通过 hostNetwork: true、privileged: true、hostPID: true 或挂载 /proc//host 等路径逃逸宿主机。Go 代码里不能只查字段是否存在，得判断组合逻辑是否构成风险链。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 对每个新建
Pod，检查Spec.HostNetwork&&!strings.HasPrefix(Pod.Namespace, "kube-")→ 高危 - 检查
Spec.Containers[i].SecurityContext.Privileged == true，同时len(Spec.Volumes) > 0且任一Volume.HostPath.Path以/开头 → 高危 - 用
strings.Contains(container.Args, "/bin/sh") || strings.Contains(container.Command, "sh")辅助判断交互式 shell 启动，但需排除initContainer场景（很多合规镜像用 sh 做初始化） - 别硬编码路径白名单（如
/etc/hosts），K8s 1.26+ 支持ReadOnlyRootFilesystem: true，优先匹配这个安全基线
为什么不用 Webhook 而选客户端轮询 + Watch 混合模式
Webhook 看似实时，但需要配置 MutatingWebhookConfiguration，一旦证书过期或服务不可用，会导致所有 Pod 创建卡住——生产环境不敢赌。客户端模式虽有秒级延迟，但可控、可降级、不阻塞集群核心流程。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 对关键事件（如
Secret创建）启用双通道：watch 实时捕获 + 每 30 秒List全量比对ResourceVersion，防漏事件 - 用
time.AfterFunc控制重连间隔，首次失败后等待 1s，连续 3 次失败后退避到 10s，避免高频刷爆 apiserver - 所有告警日志必须带
event.Type、event.Object.GetObjectKind().GroupVersionKind().String()和event.Object.GetUID()，方便后续在 etcd 快照里定位原始数据 - 别把告警发到 stdout——写入本地
/var/log/kube-alert.log并用logrotate管理，否则容器重启就丢历史
Go 代码里最容易被忽略的 RBAC 和上下文陷阱
权限配错，程序跑起来没报错，但 watch 一直收不到事件；context 传错，goroutine 泄露，几小时后 OOM。这两点不是“可能出问题”，而是几乎必踩。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- RBAC
ClusterRole至少包含：resources: ["pods", "deployments", "secrets"]，verbs: ["list", "watch"]，namespaces: ["*"]—— 注意namespaces: ["*"]不是通配符语法，得用空namespace字段或 ClusterRoleBinding - 每个
Watch调用必须绑定独立context.WithTimeout(ctx, 5 * time.Minute)，超时后主动 close channel，不然Watch会卡死在http.Read -
rest.InClusterConfig()在非 in-cluster 环境会 panic，开发时用clientcmd.BuildConfigFromFlags("", kubeconfigPath)替代，别写 if 判断 - 所有
clientset.CoreV1().Pods(namespace).Watch()的 namespace 参数不能为空字符串，否则 watch 会返回 403（即使你有 cluster 权限）
真正的难点不在写多少规则，而在于怎么让这套逻辑在节点重启、apiserver 切换、etcd 网络抖动时都不丢事件也不狂刷日志——所有重试、去重、上下文取消都得落在每一层调用上，少一层就可能变成定时炸弹。
