5 anti-patterns that cause Kubernetes operator vulnerabilities

Five anti-patterns in controller-runtime Kubernetes operators silently create unfiltered cluster-wide informers, causing OOMKill or deadlocks. The patterns are: (1) predicates only filter reconciliation events, not cache storage; (2) DisableFor only affects client.Get/List, not controller builder registrations like Owns() or Watches(); (3) client.Get() on an unlisted type implicitly creates a cluster-wide informer; (4) missing DefaultNamespaces or label selectors defaults to watching all namespaces; (5) mismatched typed vs. unstructured watch/get operations waste cache memory. Each anti-pattern has a concrete fix using ByObject label selectors, DisableFor, uncached API readers, WatchesMetadata, or DefaultNamespaces. A 5-step grep-based audit process and the ReaderFailOnMissingInformer development flag help surface phantom watches before they hit production.

Nguồn: https://developers.redhat.com/articles/2026/07/06/5-anti-patterns-cause-kubernetes-operator-vulnerabilities. 8sync News chỉ tóm tắt và dẫn link; bản quyền nội dung thuộc tác giả và nguồn gốc.

Đề xuất cho bạn

Towards Dev46 Hot7 phút2 ngày trướcAI

Go 1.26 Quietly Fixed the Things That Were Actually Annoying

Go 1.26 ưu tiên cải tiến thực tế hơn là tính năng nổi bật, với Green Tea GC trở thành mặc định giúp giảm 10–40% overhead cho dịch vụ sản xuất mà không cần thay đổi code. Bản cập nhật bổ sung thêm new() hỗ trợ biểu thức, công cụ go fix được viết lại, cgo nhanh hơn, random heap base address, profiler rò rỉ goroutine thử nghiệm, cùng ba package thư viện mới (crypto/hpke, simd/archsimd, runtime/secret). Ngoài ra, cmd/doc bị loại bỏ thay bằng go doc, và pprof mặc định hiển thị flame graphs.