GitOps

原理：声明式配置 + 自动对账

GitOps 的核心机制是「对账（Reconciliation）」：集群内有一个控制器（如 ArgoCD、Flux），持续对比 Git 仓库中声明的期望状态和集群实际运行状态，发现不一致时自动拉平。

这和传统 CI/CD 的推送模式（Pipeline 主动 kubectl apply）有本质区别：GitOps 是拉取模式（Pull），集群主动从 Git 拉取变更，意味着 CI 系统不需要集群的 kubeconfig 凭据，攻击面大幅减小。[1]

好处与局限

GitOps 最直接的好处是审计日志天然完备——每次变更都是一次 Git commit，有 who/when/what/why（commit message），合规审计时直接查 Git 历史。回滚也变得直接：git revert 一条提交，5 分钟内集群状态自动回到历史版本。

局限在于：密钥管理是痛点，不能把数据库密码明文写进 Git 仓库，需要额外工具（Sealed Secrets 把密钥加密后再提交，或用 Vault + External Secrets Operator）；调试时工程师习惯直接 kubectl edit，但这会被 GitOps 控制器覆盖回去，思维模式需要转换。