我让策略引擎以为自己在生产环境
内容提要
Kyverno CLI在离线测试时无法解析GlobalContextEntry，导致测试崩溃或结果失真。LFX学员通过修复多个bug，并创建翻译层将模拟数据伪装成实时集群数据，使引擎离线运行与生产一致。项目还新增了HTTP/Envoy策略支持、清理策略等，并强调专注单一问题、深度钻研的重要性。
延伸解读
离线测试的痛点
Kyverno CLI在离线测试时无法解析GlobalContextEntry，导致测试崩溃或结果失真。这是因为引擎在评估时依赖实时集群数据，而CI/CD环境没有API服务器。这并非理论问题，而是2026年初CLI的已知缺陷，影响企业团队的生产策略测试。
伪装而非模拟
作者最初尝试将模拟数据直接传给引擎，但失败。关键洞察是：引擎期望的是切片结构，而非单个对象。因此，作者创建了翻译层，将模拟数据包装成与生产环境一致的结构，使引擎无法区分离线与在线，从而保证测试结果与生产一致。
修复与新增功能
除了核心翻译层，作者还修复了多个bug，如CLI崩溃、静默失败等，并新增了HTTP/Envoy策略支持、清理策略、多资源验证等功能。这些改进增强了CLI的离线测试能力，使其更接近生产环境。
开源贡献的启示
作者强调专注单一问题、深度钻研的重要性，而非试图理解整个代码库。通过解决具体问题，逐步建立信任，并最终承担更大任务。此外，社区反馈表明，这些修复已成为生产依赖，凸显了开源贡献的实际影响。
Q&A
Kyverno CLI在离线测试时遇到GlobalContextEntry会有什么问题？
在离线测试时，由于没有实时API服务器，CLI无法解析GlobalContextEntry中的kubernetesResource引用，导致测试崩溃或规则被静默跳过，生成的策略报告与生产环境实际结果不符。
Kyverno CLI如何实现在离线测试时模拟生产环境？
通过创建一个翻译层（resolveResourcesMockData），将用户提供的模拟资源数据解码并包装成与Kubernetes informer缓存返回的相同结构（[]interface{}），使策略引擎无法区分离线数据与实时集群数据，从而确保离线评估与生产一致。
Kyverno CLI离线测试支持哪些策略类型？
支持ValidatingPolicy、MutatingPolicy、GeneratingPolicy、DeletingPolicy、CleanupPolicy和ClusterCleanupPolicy，以及HTTP和Envoy授权策略。
Kyverno CLI新增了哪些命令行标志来支持离线测试？
新增了--http-payload和--envoy-payload标志，用于离线测试HTTP和Envoy授权策略。
Kyverno CLI测试清单（kyverno-test.yaml）新增了哪些字段？
新增了apiCallResponses、globalContextEntries、resources、resourceFiles和jsonPayloads字段，用于定义模拟数据和多负载场景。
Kyverno CLI离线测试的局限性是什么？
文章未明确提及局限性，但强调了离线测试必须与生产行为一致，因此任何特殊处理都可能破坏这一保证。
LFX学员在Kyverno项目中主要贡献了什么？
修复了多个CLI崩溃和静默失败问题，构建了内存假动态客户端，实现了离线模拟GlobalContextEntry的翻译层，新增了HTTP/Envoy策略支持、清理策略支持，并完善了文档。
Kyverno CLI离线测试的模拟数据是如何被处理的？
用户通过kyverno-test.yaml声明模拟资源，翻译层使用runtime.RawExtension解码每个清单，强制转换为unstructured map，并包装成[]interface{}切片，使其与实时集群返回的数据结构一致。
