核心概念：资源配额（Resource Quota）的定义、作用域、生命周期管理

在 Gateway API 的生态中，资源配额（Resource Quota） 是控制多租户、多团队共享网关基础设施的核心机制。它定义了某个作用域（如命名空间、网关实例或路由组）内可消耗的 API 资源上限，防止单一租户的流量或配置膨胀影响全局稳定性。

2.1 资源配额的定义

资源配额是一组可量化的约束条件，作用于 Gateway API 的特定资源类型。它通常包含以下三类指标：

2.2 配额的作用域模型

Gateway API 的配额作用域采用分层设计，从集群级到路由级逐层细化。下图展示了典型的作用域层级及其配额覆盖范围：

2.3 生命周期管理

资源配额的生命周期分为四个阶段：定义 → 绑定 → 监控 → 调整。每个阶段都有明确的接口和操作规范。

2.3.1 定义阶段

通过 YAML 或 API 声明配额模板。以下是一个典型的命名空间级配额定义：

apiVersion: gateway.networking.k8s.io/v1
kind: ResourceQuota
metadata:
  name: team-alpha-quota
  namespace: team-alpha
spec:
  scope: Namespace
  hard:
    httpRoutes: "50"
    backendRefs: "200"
    listeners: "5"
    tlsCertificates: "10"
  scopeSelector:
    matchLabels:
      team: alpha
      environment: production

2.3.2 绑定阶段

配额通过 scopeSelector 或直接关联到目标作用域。绑定方式有两种：

• 显式绑定： 在配额资源中指定 namespace 或 gatewayRef，直接作用于特定实例。
• 标签选择绑定： 使用 matchLabels 自动匹配带有特定标签的命名空间或网关，适合大规模自动化管理。

2.3.3 监控阶段

配额状态通过 status 字段实时反映当前使用量。运维人员可通过以下方式监控：

2.3.4 调整阶段

当业务增长或配额不足时，需要动态调整。调整策略分为两种模式：

2.4 配额冲突与优先级

当多个配额作用于同一资源时，Gateway API 遵循以下优先级规则：

1. 最严格配额生效： 取所有匹配配额中的最小值作为实际上限。
2. 显式绑定优先于标签选择： 如果同时存在显式绑定和标签匹配的配额，显式绑定覆盖标签匹配。
3. 拒绝而非降级： 当创建资源超出配额时，API 直接拒绝请求并返回 403 Forbidden，不会自动降级或截断已有资源。