4. 源仓库准入策略（Source Repositories）

源仓库准入策略是 Argo CD 项目级安全的第一道防线。它定义了哪些 Git 仓库可以被项目内的 Application 资源引用，从而防止开发人员或攻击者将未经授权的代码、恶意 Helm Chart 或非标 Kustomize 基底引入集群。本节从允许/拒绝列表、正则表达式匹配和私有仓库认证三个维度展开评审要点。

4.1 允许/拒绝的 Git 仓库列表

Argo CD 项目通过 spec.sourceRepos 字段定义仓库准入规则。该字段是一个字符串数组，每个元素可以是一个精确的 Git 仓库 URL，也可以是一个通配符或正则表达式。当 Application 的 spec.source.repoURL 与列表中任意一条规则匹配时，准入通过；否则拒绝。

4.2 正则表达式匹配策略

当仓库数量庞大或命名规范统一时，正则表达式是平衡安全性与灵活性的最佳选择。Argo CD 使用 Go 的 regexp 包进行匹配，规则以 ^ 开头并以 $ 结尾时执行全匹配，否则为部分匹配。

正则表达式编写评审清单：

• 锚定边界：优先使用 ^https://github\.com/my-org/.*$ 而非 https://github\.com/my-org/.*，防止意外匹配到子域名或路径注入。
• 转义特殊字符：点号 .、斜杠 /、连字符 - 在正则中有特殊含义，必须转义为 \.、\/、\-。
• 拒绝规则优先级：以 ! 开头的拒绝规则优先级高于允许规则。例如 !^https://github\.com/evil-.*$ 可阻止恶意命名空间。
• 避免贪婪匹配：使用 .*? 代替 .* 可减少回溯风险，提升大规模仓库列表的匹配性能。

# 推荐的正则表达式示例
# 仅允许 my-org 下以 -infra 或 -app 结尾的仓库
^https://github\.com/my-org/.*-(infra|app)$

# 拒绝所有包含 -test 或 -dev 的仓库（禁止非生产环境代码入集群）
!^https://github\.com/.*-(test|dev).*$

# 允许自建 GitLab 实例的特定组
^https://gitlab\.company\.com/platform-team/.*$

4.3 私有仓库认证策略

私有 Git 仓库需要额外的认证凭据才能被 Argo CD 访问。Argo CD 支持三种私有仓库认证方式，每种方式在项目级架构中的安全考量不同。

项目级私有仓库认证配置示例（HTTPS + ）：

apiVersion: v1
kind: Secret
metadata:
  name: private-repo-creds
  namespace: argocd
  labels:
    argocd.argoproj.io/secret-type: repository
stringData:
  type: git
  url: https://gitlab.company.com/platform-team/
  username: gitlab-ci-
  password: glpat-xxxxxxxxxxxxx
  insecure: "false"

在项目 YAML 中引用该仓库时，Argo CD 会自动匹配 url 前缀，无需在项目内重复配置凭据。评审时需确认：

• Secret 作用域：仓库 Secret 默认全局生效，任何项目只要 sourceRepos 匹配即可使用。如需项目级隔离，应为每个项目创建独立的仓库 Secret。
• 凭据最小权限：Git 平台侧 应仅授予目标仓库的 read 权限，禁止 write 或 admin。
• 证书验证：自建 Git 服务若使用自签名证书，需在 Secret 中设置 insecure: "true" 或配置 tlsClientCertData / tlsClientCertData。评审时应要求提供证书指纹或 CA 证书。

4.4 源仓库准入策略架构图

下图展示了从 Application 提交到 Argo CD 项目准入检查的完整流程，重点突出源仓库匹配与认证决策点。

4.5 多仓库场景下的策略组合

在实际企业环境中，一个项目往往需要同时访问多个源仓库（例如：应用代码仓库、基础 Helm Chart 仓库、Kustomize 基底仓库）。评审时应关注策略组合的完整性与冲突处理。

推荐的多仓库策略模板：

apiVersion: argoproj.io/v1alpha1
kind: AppProject
metadata:
  name: platform-team
spec:
  sourceRepos:
    # 1. 允许团队主仓库
    - 'https://github.com/platform-team/*'
    
    # 2. 允许共享 Helm Chart 仓库（精确匹配）
    - 'https://github.com/shared-helm-charts/stable.git'
    
    # 3. 拒绝所有 -sandbox 仓库（即使匹配通配符）
    - '!https://github.com/platform-team/*-sandbox*'
    
    # 4. 允许自建 GitLab 的特定组（正则）
    - '^https://gitlab\.company\.com/infra/.*$'
    
    # 5. 拒绝所有外部未知仓库（兜底）
    - '!*'

私有仓库认证的评审检查清单：

• Secret 命名规范：仓库 Secret 应包含项目名或团队名，便于审计。例如 repo-creds-platform-team。
• 有效期：Git 平台侧 应设置过期时间，并在 Argo CD 中配置 argocd repocreds 的自动刷新或告警。
• 网络策略：如果集群使用网络策略（NetworkPolicy），需确保 Argo CD repo-server Pod 的 egress 规则允许访问目标 Git 服务器的 IP 和端口（通常为 22/SSH 或 443/HTTPS）。
• 审计日志：开启 Argo CD 的审计日志（argocd-server --audit-log-path），记录所有仓库访问失败事件，便于溯源。