K8s 1.36正式發布：Webhooks被取代，這10個變化被低估了

Kubernetes 1.36的發布打破了慣例。這個版本代號"Haru"——日語中同時包含春天、晴空、遠方三重含義。發布Logo重新演繹了葛飾北齋的《紅富士》，Kubernetes的舵輪懸浮于山巔之上，書法題字寫著"翱翔晴空，朝向明日朝陽"。

詩意背后，這是近年來最具實質意義的版本之一。不是因為推出了十幾項Alpha新功能，而是因為它終于讓醞釀多年的功能畢業，淘汰了早該廢棄的舊機制，并給了平臺工程師真正的工具，不用再拿膠帶修補集群。

核心變化一覽：Mutating Admission Policies正式GA，Webhooks進入倒計時；User Namespaces歷經四年Alpha后終于穩定；Ingress NGINX正式退役（非棄用，是退役）；DRA真正成熟，支持GPU調度；OCI卷讓ML模型分發不再尷尬；HPA支持縮容至零；gitRepo卷類型被刪除——八年前就預告過這一天。

如果你在生產環境跑過Admission Webhooks，你知道那是什么滋味：每個API請求都要打到集群外的Webhook服務器，需要獨立部署、獨立TLS、獨立值班。一旦它宕機——而它會宕機的——Pod調度直接停止，不是降級，是停止。

作者曾花一周時間追查一條卡住的CI/CD流水線：部署隨機失敗，日志嘈雜無用。根因是OPA Gatekeeper的Webhook在高負載下靜默丟棄Pod創建請求。整整一周，只為一個被丟棄的請求。

這類問題在1.36后消失。MutatingAdmissionPolicies將變更邏輯寫成CEL表達式，在API服務器內聯執行。沒有外部服務器，沒有TLS證書輪換，沒有凌晨3點因為Webhook Pod被驅逐而報警。定義為Kubernetes對象，用Git版本控制，走正常的GitOps流程。

限制依然存在：如果變更邏輯需要調用外部服務，仍需Webhook。但這只占真實場景的約20%。標簽注入、Sidecar前置、字段默認值——這些現在都是原生進程內操作。Webhooks沒有消失，只是不再是唯一選項。對大多數團隊而言，這是巨大的運維解脫。

另一個被回避的事實：當容器以root運行時，它在宿主機上也是root。容器邊界確實存在，但一旦逃逸，它就帶著完整管理員權限落在你的節點上。