Helm 基础回顾：Chart 结构、模板引擎、Values 与 Release 概念

在云原生供应链中，Helm 是 Kubernetes 应用打包与部署的事实标准。理解 Helm 的核心抽象——Chart、模板引擎、Values 与 Release——是后续进行镜像签名注入、冷启动削峰配置的基础。本节从供应链视角重新梳理这些概念，并聚焦于它们如何影响部署时的镜像拉取与签名验证流程。

1. Chart 目录结构与供应链元数据

一个标准的 Helm Chart 是一个遵循特定布局的目录集合。除了传统的 Kubernetes 资源模板外，供应链安全要求我们在 Chart 中携带签名、摘要和策略元数据。

2. 模板引擎与镜像引用注入

Helm 使用 Go 模板引擎将 Values 中的参数动态注入到 Kubernetes 资源中。在镜像供应链场景下，模板引擎的核心职责是：将抽象的镜像名称解析为包含摘要（digest）的不可变引用，并附加签名验证注解。

# values.yaml 中的镜像定义
image:
  repository: registry.example.com/app
  tag: v1.2.3
  digest: sha256:a1b2c3d4e5f6...
  cosign:
    enabled: true
    keyRef: k8s://namespace/cosign-public-key

# templates/deployment.yaml 中的模板片段
apiVersion: apps/v1
kind: Deployment
spec:
  template:
    spec:
      containers:
      - name: {{ .Chart.Name }}
        image: "{{ .Values.image.repository }}@{{ .Values.image.digest }}"
        {{- if .Values.image.cosign.enabled }}
        env:
        - name: COSIGN_KEY_REF
          value: "{{ .Values.image.cosign.keyRef }}"
        {{- end }}

3. Values 分层与签名策略注入

Values 支持多层覆盖：默认值（values.yaml）→ 父 Chart 值 → 用户提供的 --set 或 -f 文件。这种分层机制允许我们在不同环境（开发、预发、生产）注入不同的签名策略。

4. Release 生命周期与签名状态绑定

Release 是 Chart 的一次部署实例。每个 Release 都有唯一的名称和修订版本（revision）。在供应链上下文中，Release 的修订历史应当与镜像签名的版本一一对应。

• 安装（install）：首次部署时，Helm 记录 Release 的签名策略快照。
• 升级（upgrade）：更新镜像摘要或签名密钥时，Helm 创建新 revision，旧 revision 保留签名历史。
• 回滚（rollback）：回滚到旧 revision 时，自动恢复对应的签名策略和镜像摘要。
• 卸载（uninstall）：清理 Release 时，可选择保留签名审计日志。

5. 核心概念对比：Chart、Values、Release 与模板

下表从定义、生命周期、供应链角色三个维度对比 Helm 的四大核心概念，帮助建立清晰的认知边界。

6. 模板函数与镜像摘要解析

Helm 内置了丰富的模板函数，在供应链场景中，digest 解析和 quote 处理是最常用的。以下是一个生产级模板片段，展示如何安全地构造镜像引用并注入 Cosign 注解：

{{- /* 安全构造镜像引用：优先使用 digest，回退到 tag */ -}}
{{- $imageRepo := .Values.image.repository -}}
{{- $imageDigest := .Values.image.digest | default "" -}}
{{- $imageTag := .Values.image.tag | default "latest" -}}

{{- if $imageDigest }}
  {{- $imageRef := printf "%s@%s" $imageRepo $imageDigest -}}
{{- else }}
  {{- $imageRef := printf "%s:%s" $imageRepo $imageTag -}}
  {{- /* 生产环境警告：缺少 digest 可能导致签名验证失败 */ -}}
{{- end }}

apiVersion: apps/v1
kind: Deployment
metadata:
  annotations:
    cosign.sigstore.dev/image-ref: {{ $imageRef | quote }}
    cosign.sigstore.dev/verified: "true"
spec:
  template:
    spec:
      containers:
      - name: {{ .Chart.Name }}
        image: {{ $imageRef }}

7. 常见陷阱与供应链最佳实践

• 陷阱：在模板中使用 .Values.image.tag 而不指定 digest —— 导致镜像引用可变，签名验证失败，且无法利用层缓存。
• 陷阱：忽略 .helmignore 文件 —— 打包时可能排除 .sig 或 .att 签名文件，导致 Chart 分发后签名丢失。
• 最佳实践：在 values.yaml 中为每个环境定义独立的 digest 和 cosign.keyRef —— 实现环境隔离的签名策略。
• 最佳实践：使用 helm lint --strict 和 helm template --validate —— 在部署前验证模板渲染结果和签名注解的正确性。
• 最佳实践：将 Chart 打包为 OCI 制品并签名 —— 使用 helm push 配合 Cosign 对 Chart 本身进行签名，形成完整的供应链信任链。