4. Helm Chart 基础回顾：Chart 结构、模板引擎、Values 文件管理、依赖管理与子 Chart

Helm 是 Kubernetes 生态中事实上的包管理标准。一个 Helm Chart 本质上是一个预配置的 Kubernetes 资源模板集合，通过参数化实现环境间复用。本节从四个核心维度系统回顾 Chart 的基础知识，为后续跨集群调度与安全审计奠定技术基础。

4.1 Chart 目录结构与核心文件

一个标准 Chart 遵循固定目录布局，Helm CLI 通过该结构识别元数据、模板、依赖和资源文件。下表列出核心文件及其职责：

4.2 模板引擎（Go Template）核心机制

Helm 使用 Go 标准库 text/template 作为模板引擎，并扩展了 Sprig 函数库（超过 70 个字符串、数学、列表、字典操作函数）。模板引擎将 values.yaml 中的值注入到 templates/ 目录下的模板文件中，最终生成完整的 Kubernetes 清单。

4.2.1 基本语法与数据注入

# values.yaml
replicaCount: 3
image:
  repository: nginx
  tag: "1.25"
service:
  port: 80

# templates/deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: {{ .Release.Name }}-nginx
spec:
  replicas: {{ .Values.replicaCount }}
  selector:
    matchLabels:
      app: {{ .Chart.Name }}
  template:
    metadata:
      labels:
        app: {{ .Chart.Name }}
    spec:
      containers:
        - name: {{ .Chart.Name }}
          image: "{{ .Values.image.repository }}:{{ .Values.image.tag }}"
          ports:
            - containerPort: {{ .Values.service.port }}

4.2.2 流程控制与函数

模板引擎支持 if/else、range（循环）、with（作用域切换）等控制结构。以下示例展示条件判断与默认值函数：

{{- if .Values.ingress.enabled }}
apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: {{ .Release.Name }}-ingress
spec:
  rules:
    - host: {{ .Values.ingress.host | default "example.com" }}
      http:
        paths:
          - path: /
            pathType: Prefix
            backend:
              service:
                name: {{ .Release.Name }}-service
                port:
                  number: {{ .Values.service.port }}
{{- end }}

4.3 Values 文件管理与优先级

Helm 支持多层 Values 覆盖机制，理解优先级顺序对跨集群配置管理至关重要。以下为完整的 Values 优先级链（从低到高）：

1. Chart 内置 values.yaml —— 默认值，最低优先级
2. 父 Chart 的 values.yaml —— 当 Chart 作为子 Chart 被引用时，父 Chart 的值可覆盖子 Chart 默认值
3. helm install -f 或 helm upgrade -f 指定的外部 YAML 文件 —— 可指定多个文件，后出现的文件优先级更高
4. --set 命令行参数 —— 覆盖单个键值对，支持 key=value 和 JSON 路径语法
5. --set-string 命令行参数 —— 强制将值视为字符串，避免自动类型推断

4.4 依赖管理与子 Chart

Helm 通过 Chart.yaml 中的 dependencies 字段声明子 Chart 依赖。依赖管理支持版本约束、仓库别名、条件启用等高级特性。

4.4.1 依赖声明与版本约束

# Chart.yaml
apiVersion: v2
name: myapp
version: 1.0.0
dependencies:
  - name: redis
    version: ">=17.0.0 < 18.0.0"
    repository: "https://charts.bitnami.com/bitnami"
    condition: redis.enabled
    alias: cache
  - name: postgresql
    version: "12.x"
    repository: "https://charts.bitnami.com/bitnami"
    tags:
      - database
      - production

依赖管理常用命令：

• helm dependency update —— 根据 Chart.yaml 下载依赖到 charts/ 目录并生成 Chart.lock 锁定文件
• helm dependency build —— 使用 Chart.lock 中的精确版本重建依赖，确保可复现
• helm dependency list —— 显示当前依赖状态（已下载、缺失、版本不匹配）

4.4.2 子 Chart 的值传递与作用域

子 Chart 的 Values 通过父 Chart 的 values.yaml 中与子 Chart 同名的键传递。以下示例展示如何为 redis 子 Chart 传递配置：

# 父 Chart 的 values.yaml
redis:
  enabled: true
  architecture: standalone
  auth:
    enabled: false
  master:
    persistence:
      enabled: false

# 子 Chart 内部通过 .Values.architecture 访问上述值

4.5 安全审计视角下的 Chart 基础检查清单

在变更门禁流水线中，对 Helm Chart 的基础审查应包含以下维度：