2. 镜像拉取策略：Always、IfNotPresent、Never 的语义与适用场景，默认策略的底层逻辑

2.1 三种策略的语义定义

Kubernetes 通过 Pod 规约中的 imagePullPolicy 字段控制 kubelet 在启动容器前如何拉取镜像。该字段支持三种枚举值，其核心语义如下表所示：

2.2 适用场景分析

不同策略在集群灾备、CI/CD、离线部署等场景中有明确的选择依据：

• Always —— 适用于开发环境、CI/CD 流水线、需要频繁发布新版本的业务。灾备场景下，若主集群与灾备集群共用同一镜像仓库且网络可靠，Always 可确保灾备集群始终运行与主集群一致的版本。
• IfNotPresent —— 适用于生产环境、灾备集群、边缘节点。当镜像版本稳定且节点已通过预拉取或预热缓存了镜像时，IfNotPresent 可大幅降低启动延迟，避免灾备切换时因仓库不可用导致 Pod 启动失败。
• Never —— 适用于离线环境、气隙网络、安全合规要求极高的场景。灾备集群若与主集群网络隔离，且镜像已通过离线方式导入节点，Never 可防止任何意外的外网请求。

2.3 默认策略的底层逻辑

当用户未显式设置 imagePullPolicy 时，kubelet 会根据镜像标签的格式自动推断默认策略。其底层判断逻辑如下：

// 伪代码逻辑（基于 Kubernetes 源码 pkg/kubelet/images/puller.go）
if image.tag == "latest" || image.tag == "" {
    defaultPolicy = Always
} else {
    defaultPolicy = IfNotPresent
}

具体规则：

• 如果镜像标签为 :latest 或未指定标签（默认视为 :latest），则默认策略为 Always。
• 如果镜像标签为明确的版本号（如 :v1.2.3、:stable、:sha256@...），则默认策略为 IfNotPresent。
• Never 策略永远不会被自动推断，必须显式声明。

apiVersion: apps/v1
kind: Deployment
metadata:
  name: app-production
spec:
  template:
    spec:
      containers:
      - name: app
        image: registry.example.com/app:v3.2.1
        imagePullPolicy: IfNotPresent   # 灾备集群推荐
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: app-canary
spec:
  template:
    spec:
      containers:
      - name: app
        image: registry.example.com/app:latest
        imagePullPolicy: Always         # 开发/金丝雀发布
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: app-offline
spec:
  template:
    spec:
      containers:
      - name: app
        image: registry.example.com/app:v3.2.1
        imagePullPolicy: Never          # 离线灾备节点