1. Webhook 基础概念

1.1 什么是 Webhook

Webhook 是一种轻量级的回调机制，允许一个系统在特定事件发生时，主动向另一个系统发送 HTTP 请求（通常是 POST），携带事件相关的数据。与传统的轮询（Polling）模式不同，Webhook 采用“事件驱动、推送通知”的方式，能够实现实时、高效的系统间通信。

1.2 Webhook 的工作原理

Webhook 的完整生命周期包含三个核心角色和四个关键步骤：

1. 事件源（Event Source）：产生特定事件的系统（如 Kubernetes API Server、GitHub 仓库）。
2. Webhook 注册（Registration）：事件源维护一个 Webhook 配置列表，包含目标 URL、触发事件类型、重试策略等。
3. 事件触发与推送（Trigger & Push）：当事件发生时，事件源构造 HTTP 请求，将事件数据发送到注册的 URL。
4. 接收与处理（Receive & Handle）：目标系统（Webhook Server）接收请求，解析数据，执行自定义逻辑，并返回响应（如成功/失败、修改后的对象等）。

1.3 Webhook 在 Kubernetes 中的角色与价值

在 Kubernetes 生态中，Webhook 是扩展 API Server 行为的关键机制，主要用于实现准入控制（Admission Control）和自定义资源验证/变更。Kubernetes 原生支持两种类型的 Webhook：

1.4 Webhook 在 Kubernetes 中的工作流程

当用户通过 kubectl apply 或 API 调用创建/更新资源时，Kubernetes API Server 会按照以下顺序执行 Webhook 链：

1. 认证与授权：验证用户身份和权限。
2. Mutating Webhooks 执行：按配置顺序调用所有匹配的 MutatingAdmissionWebhook，允许每个 Webhook 修改资源对象。
3. 对象模式校验：对经过变更后的对象执行内置的模式（Schema）校验。
4. Validating Webhooks 执行：按配置顺序调用所有匹配的 ValidatingAdmissionWebhook，拒绝不合规的对象。
5. 持久化存储：通过所有准入检查的对象被写入 etcd。

1.5 Webhook 配置示例（MutatingAdmissionWebhook）

以下是一个典型的 MutatingAdmissionWebhook 配置 YAML，展示了如何注册一个 Webhook 到 Kubernetes 集群：

apiVersion: admissionregistration.k8s.io/v1
kind: MutatingWebhookConfiguration
metadata:
  name: example-mutating-webhook
webhooks:
- name: pod-injector.example.com
  clientConfig:
    service:
      name: webhook-service
      namespace: webhook-system
      path: /mutate
    caBundle: <base64-encoded-ca-cert>
  rules:
  - operations: ["CREATE", "UPDATE"]
    apiGroups: [""]
    apiVersions: ["v1"]
    resources: ["pods"]
  admissionReviewVersions: ["v1"]
  sideEffects: None
  timeoutSeconds: 10
  reinvocationPolicy: IfNeeded

1.6 Webhook 在云原生架构中的价值总结