Kyverno 是独立 Kubernetes 控制器，非 Go 库，不可集成进 main.go；策略为 YAML CRD，须用 kyverno apply 验证、client-go 查询 PolicyReport，generate 规则需真实集群验证。
Kyverno 不是 Go 库，不能“集成”进 main.go 里调用；它是一个独立运行的 Kubernetes 控制器，Golang 项目只需通过标准 Kubernetes API 或 CLI 工具与之交互——比如在 CI 中跑 kyverno apply 验证策略，或用 client-go 查询 Kyverno 生成的 ClusterPolicyReport 资源。
别在 Go 代码里写 Kyverno 策略逻辑
Kyverno 的 Policy 和 ClusterPolicy 是纯 YAML 定义的 CRD，不是 Go 类型。常见错误包括：
- 在 Go struct 中硬编码
validate.pattern字段，误以为能映射到 Kyverno Schema - 用
unstructured.Unstructured拼接策略 YAML，但漏掉spec.rules[0].name（v1.9+ 强制非空） - 把策略逻辑塞进
init()函数，期待它自动生效——Kyverno controller 才是执行主体
正确做法：把策略 YAML 放进 ./policies/ 目录，用 Go 工具（如 gomplate）渲染变量，再交给 kyverno apply 验证。
用 Go 工具链生成并预检 Policy YAML
CI 流水线中，Go 程序可作为策略“构建器”，但只负责生成和校验，不参与执行：
立即学习“go语言免费学习笔记（深入）”；
- 用
text/template或gomplate渲染带环境变量的策略模板，例如填入{{ .Namespace }}或{{ .ImageRegistry }} - 生成后立即执行
kyverno apply policy.yaml --resource pod.yaml，测试validate.deny.message是否触发、mutate.patchStrategicMerge是否生效 - 注意
--resource文件必须含完整字段路径，否则报错failed to resolve variable: request.object.metadata.labels['app']—— 不是策略错，是测试数据缺字段 -
kyverno apply默认离线运行，但会读取~/.kube/config当前 context，切换kubectx后需 reload，否则 API 版本解析可能出错
从 Go 程序读取 Kyverno 合规报告
Kyverno 自动生成 ClusterPolicyReport 和 PolicyReport 资源，Go 服务可用 client-go 查询这些状态：
- 资源类型是
polr.kyverno.io/v1（PolicyReport）或cpolr.kyverno.io/v1（ClusterPolicyReport），不是内置 API - 需注册 Kyverno 的 CRD Scheme，或直接用
dynamic.Interface获取 unstructured 数据 - 关键字段如
.results[].result（pass/fail/skip）、.summary（pass: 12, fail: 3）可用于计算合规率 - 不要轮询
get /apis/kyverno.io/v1/policyreports，应监听Watch事件，避免高频请求打满 Kyverno metrics 接口
绕过 Kyverno 的常见陷阱
有些场景看似要“绕开”Kyverno，实则是没理解其设计边界：
- 想让 Go 服务动态禁用某条策略？不行——策略启停靠
Policy.spec.enabled字段更新，必须kubectl patch，不是调 Go 函数 - 需要实时拦截 Pod 创建并返回自定义错误码？Kyverno 的
validate.deny.message固定返回 HTTP 403，无法改状态码；真有此需，得自己写 Admission Webhook - 想用 Go 统计“所有命名空间下未配置 readinessProbe 的 Deployment”？别查 Kyverno Report，直接
client-go列举 Deployment 并检查.spec.template.spec.containers[].readinessProbe
最易被忽略的一点：Kyverno 的 generate 规则在 kyverno apply 中不执行（因不操作 etcd），只有上真实集群 + kyverno test 才能验证生成行为——本地 CI 里漏掉这步，上线后 generate 就静默失效。
