Kubernetes镜像拉取准入控制治理（Admission-签名-白名单）最佳实践

**实现示例** ```ts type Image = { registry: string; repo: string; tag: string; digest?: string } type Policy = { allowRegistries: Set; requireDigest: boolean } function validImage(i: Image, p: Policy): boolean { const okReg = p.allowRegistries.has(i.registry) const hasDig = p.requireDigest ? !!i.digest && /^[A-Fa-f0-9]{64}$/.test(i.digest) : true return okReg && hasDig && !!i.repo && !!i.tag } ``` **审计与运行治理** - 准入策略审计来源域与摘要固定；异常阻断并输出修复建议。 - 策略变更需审批与归档。