19e - AI 辅助容器化与 Kubernetes

# Docker Init 会交互式询问项目信息并生成 Dockerfile
docker init
 
# 支持的语言/框架：Node.js, Python, Go, Rust, Java, .NET, PHP
# 自动生成：Dockerfile, .dockerignore, compose.yaml

我的项目信息：
- 语言/框架：[Node.js 20 + TypeScript / Python 3.12 + FastAPI / Go 1.22 / Rust]
- 构建工具：[npm / pnpm / poetry / cargo]
- 需要的系统依赖：[如 ffmpeg, imagemagick, 无]
- 目标环境：[生产 / 开发 / CI]

请生成优化的多阶段 Dockerfile，要求：
1. 使用 Alpine 或 Distroless 作为运行时基础镜像
2. 分离构建阶段和运行阶段
3. 利用 Docker 层缓存优化（先复制依赖文件，再复制源码）
4. 使用非 root 用户运行
5. 设置合理的健康检查（HEALTHCHECK）
6. 添加必要的安全标签（LABEL）
7. 最终镜像体积目标：< [100MB / 50MB / 20MB]

同时生成对应的 .dockerignore 文件。

# ============================================
# 阶段 1：依赖安装
# ============================================
FROM node:20-alpine AS deps
WORKDIR /app
 
# 仅复制依赖文件，利用 Docker 层缓存
COPY package.json pnpm-lock.yaml ./
RUN corepack enable pnpm && pnpm install --frozen-lockfile --prod
 
# ============================================
# 阶段 2：构建
# ============================================
FROM node:20-alpine AS builder
WORKDIR /app
 
COPY package.json pnpm-lock.yaml ./
RUN corepack enable pnpm && pnpm install --frozen-lockfile
 
COPY . .
RUN pnpm build
 
# ============================================
# 阶段 3：运行时（最小化镜像）
# ============================================
FROM node:20-alpine AS runner
WORKDIR /app
 
# 安全：创建非 root 用户
RUN addgroup --system --gid 1001 appgroup && \
    adduser --system --uid 1001 appuser
 
# 仅复制生产依赖和构建产物
COPY --from=deps /app/node_modules ./node_modules
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/package.json ./
 
# 安全标签
LABEL maintainer="team@example.com"
LABEL org.opencontainers.image.source="https://github.com/org/repo"
 
# 切换到非 root 用户
USER appuser
 
# 健康检查
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
  CMD wget --no-verbose --tries=1 --spider http://localhost:3000/health || exit 1
 
EXPOSE 3000
CMD ["node", "dist/index.js"]

请分析以下 Dockerfile 并提供优化建议：

[粘贴你的 Dockerfile]

请从以下维度分析：
1. 基础镜像选择是否最优
2. 是否可以使用多阶段构建
3. Docker 层缓存利用是否合理
4. 是否有不必要的依赖或文件
5. 安全性问题（root 用户、敏感信息泄露）
6. 预估优化后的镜像体积

输出格式：
- 当前问题 → 优化建议 → 预估体积减少

# Docker Scout：内置 AI 驱动的漏洞扫描
docker scout cves myapp:latest
docker scout recommendations myapp:latest
 
# Trivy：全面的容器安全扫描（开源）
trivy image myapp:latest
trivy image --severity HIGH,CRITICAL myapp:latest
 
# Grype：轻量级漏洞扫描器（开源）
grype myapp:latest

# 使用 Krew 安装
kubectl krew install ai
 
# 或直接下载二进制
# 支持 OpenAI、Gemini、Claude 等多种 LLM 后端
export OPENAI_API_KEY="sk-..."
 
# 用自然语言生成 manifest
kubectl ai "create a deployment for nginx with 3 replicas, resource limits, and a readiness probe"

请为以下应用生成完整的 Kubernetes 部署配置：

应用信息：
- 名称：[my-api]
- 镜像：[registry.example.com/my-api:v1.2.0]
- 端口：[3000]
- 副本数：[3]
- 环境：[production / staging]

要求包含：
1. Deployment（含资源限制、探针、反亲和性）
2. Service（ClusterIP）
3. Ingress（含 TLS）
4. HorizontalPodAutoscaler
5. PodDisruptionBudget
6. NetworkPolicy（仅允许来自 ingress 的流量）

安全要求：
- 非 root 运行（runAsNonRoot: true）
- 只读根文件系统（readOnlyRootFilesystem: true）
- 禁止特权提升（allowPrivilegeEscalation: false）
- 设置 securityContext 和 seccompProfile

请使用 [命名空间: my-app-prod] 并添加标准标签（app, version, environment）。

# deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: my-api
  namespace: my-app-prod
  labels:
    app: my-api
    version: v1.2.0
    environment: production
spec:
  replicas: 3
  selector:
    matchLabels:
      app: my-api
  template:
    metadata:
      labels:
        app: my-api
        version: v1.2.0
    spec:
      securityContext:
        runAsNonRoot: true
        runAsUser: 1001
        fsGroup: 1001
        seccompProfile:
          type: RuntimeDefault
      containers:
        - name: my-api
          image: registry.example.com/my-api:v1.2.0
          ports:
            - containerPort: 3000
              protocol: TCP
          resources:
            requests:
              cpu: 100m
              memory: 128Mi
            limits:
              cpu: 500m
              memory: 512Mi
          securityContext:
            allowPrivilegeEscalation: false
            readOnlyRootFilesystem: true
            capabilities:
              drop: ["ALL"]
          livenessProbe:
            httpGet:
              path: /health
              port: 3000
            initialDelaySeconds: 10
            periodSeconds: 30
          readinessProbe:
            httpGet:
              path: /ready
              port: 3000
            initialDelaySeconds: 5
            periodSeconds: 10
          env:
            - name: NODE_ENV
              value: "production"
            - name: DATABASE_URL
              valueFrom:
                secretKeyRef:
                  name: my-api-secrets
                  key: database-url
      affinity:
        podAntiAffinity:
          preferredDuringSchedulingIgnoredDuringExecution:
            - weight: 100
              podAffinityTerm:
                labelSelector:
                  matchExpressions:
                    - key: app
                      operator: In
                      values: ["my-api"]
                topologyKey: kubernetes.io/hostname
---
# service.yaml
apiVersion: v1
kind: Service
metadata:
  name: my-api
  namespace: my-app-prod
spec:
  type: ClusterIP
  selector:
    app: my-api
  ports:
    - port: 80
      targetPort: 3000
      protocol: TCP
---
# hpa.yaml
apiVersion: autoscaling/v2
kind: HorizontalPodAutoscaler
metadata:
  name: my-api
  namespace: my-app-prod
spec:
  scaleTargetRef:
    apiVersion: apps/v1
    kind: Deployment
    name: my-api
  minReplicas: 3
  maxReplicas: 10
  metrics:
    - type: Resource
      resource:
        name: cpu
        target:
          type: Utilization
          averageUtilization: 70

请为 [应用名称] 生成一个生产级 Helm Chart，包含：

Chart 结构：
├── Chart.yaml
├── values.yaml（含 production 和 staging 默认值）
├── templates/
│   ├── deployment.yaml
│   ├── service.yaml
│   ├── ingress.yaml
│   ├── hpa.yaml
│   ├── configmap.yaml
│   ├── secret.yaml（使用 ExternalSecrets 或 SealedSecrets）
│   └── _helpers.tpl
└── values-production.yaml

要求：
1. values.yaml 中参数化所有可配置项（镜像、副本数、资源、域名）
2. 使用 _helpers.tpl 定义通用标签和名称
3. 支持通过 values 文件切换环境
4. 包含 NOTES.txt 显示部署后信息
5. 遵循 Helm 最佳实践（标签规范、资源命名）

我有以下 Kubernetes 基础配置（base）：
[粘贴 base 目录下的 YAML 文件]

请生成 Kustomize overlay 结构，支持以下环境：
1. development：1 副本，无资源限制，使用 latest 标签
2. staging：2 副本，中等资源限制，使用 staging 域名
3. production：3 副本，严格资源限制，启用 HPA，使用生产域名和 TLS

目录结构：
├── base/
│   ├── kustomization.yaml
│   ├── deployment.yaml
│   └── service.yaml
├── overlays/
│   ├── development/
│   │   └── kustomization.yaml
│   ├── staging/
│   │   ├── kustomization.yaml
│   │   └── replica-patch.yaml
│   └── production/
│       ├── kustomization.yaml
│       ├── replica-patch.yaml
│       ├── resource-patch.yaml
│       └── hpa.yaml

每个 overlay 使用 patches 而非完整文件覆盖。

# 安装 K8sGPT
brew install k8sgpt
 
# 配置 AI 后端
k8sgpt auth add --backend openai --model gpt-4o
 
# 分析集群问题
k8sgpt analyze
 
# 带 AI 解释的分析
k8sgpt analyze --explain
 
# 过滤特定资源类型
k8sgpt analyze --filter=Pod,Service,Ingress --explain
 
# 以 JSON 格式输出（便于自动化）
k8sgpt analyze --explain --output=json

推荐的 CI/CD 安全扫描流程：

代码提交
    ↓
构建镜像
    ↓
Trivy/Grype 扫描（阻断 HIGH/CRITICAL）
    ↓
Docker Scout 深度分析（AI 修复建议）
    ↓
Cosign 签名镜像
    ↓
推送到受信任的镜像仓库
    ↓
部署前再次验证签名

# .github/workflows/container-security.yml
name: Container Security Scan
 
on:
  push:
    branches: [main]
  pull_request:
 
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
 
      - name: Build image
        run: docker build -t myapp:${{ github.sha }} .
 
      - name: Trivy vulnerability scan
        uses: aquasecurity/trivy-action@master
        with:
          image-ref: myapp:${{ github.sha }}
          format: 'sarif'
          output: 'trivy-results.sarif'
          severity: 'CRITICAL,HIGH'
          exit-code: '1'
 
      - name: Docker Scout scan
        uses: docker/scout-action@v1
        with:
          command: cves
          image: myapp:${{ github.sha }}
          sarif-file: scout-results.sarif
          only-severities: critical,high
 
      - name: Upload scan results
        uses: github/codeql-action/upload-sarif@v3
        with:
          sarif_file: trivy-results.sarif

# 使用 Cosign 签名镜像（Sigstore 项目）
# 安装
brew install cosign
 
# 生成密钥对
cosign generate-key-pair
 
# 签名镜像
cosign sign --key cosign.key registry.example.com/myapp:v1.2.0
 
# 验证签名
cosign verify --key cosign.pub registry.example.com/myapp:v1.2.0
 
# 在 K8s 中强制验证（使用 Kyverno 策略引擎）
# policy.yaml
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: verify-image-signature
spec:
  validationFailureAction: Enforce
  rules:
    - name: verify-signature
      match:
        any:
          - resources:
              kinds: ["Pod"]
      verifyImages:
        - imageReferences: ["registry.example.com/*"]
          attestors:
            - entries:
                - keys:
                    publicKeys: |-
                      -----BEGIN PUBLIC KEY-----
                      ...
                      -----END PUBLIC KEY-----

我的 Kubernetes Pod 出现以下问题：

症状：[CrashLoopBackOff / ImagePullBackOff / OOMKilled / Pending / Evicted]

Pod 描述信息：
[粘贴 kubectl describe pod <pod-name> 的输出]

Pod 日志：
[粘贴 kubectl logs <pod-name> 的输出]

请分析：
1. 根本原因是什么
2. 具体的修复步骤
3. 如何防止此问题再次发生
4. 需要调整哪些资源配置

请对以下 Dockerfile 进行安全审计：

[粘贴 Dockerfile]

检查项：
1. 基础镜像是否使用固定版本（非 latest）
2. 是否以非 root 用户运行
3. 是否有敏感信息硬编码（密钥、密码、token）
4. 是否有不必要的包或工具（curl, wget, bash 等）
5. 是否设置了 HEALTHCHECK
6. 文件权限是否合理
7. 是否存在已知漏洞的依赖
8. 是否使用了 COPY 而非 ADD（除非需要解压）

输出格式：
- 🔴 严重：[问题描述] → [修复方案]
- 🟡 警告：[问题描述] → [修复方案]
- 🟢 良好：[已遵循的最佳实践]

我需要为以下应用生成多平台 Docker 构建配置：

应用：[应用描述]
目标平台：[linux/amd64, linux/arm64, linux/arm/v7]
CI 系统：[GitHub Actions / GitLab CI]

请生成：
1. 支持多平台的 Dockerfile（使用 --platform 参数）
2. CI/CD 配置文件（使用 docker buildx）
3. 镜像标签策略（语义化版本 + git SHA）
4. 缓存策略（GitHub Actions Cache 或 Registry Cache）

我有一个 Express.js + TypeScript API 项目：
- 使用 pnpm 作为包管理器
- 构建命令：pnpm build（输出到 dist/）
- 启动命令：node dist/index.js
- 端口：3000
- 需要连接 PostgreSQL 数据库（通过环境变量 DATABASE_URL）
- 需要 Prisma ORM（需要 prisma generate 步骤）

请生成生产级 Dockerfile 和 .dockerignore。

# 阶段 1：依赖安装
FROM node:20-alpine AS deps
WORKDIR /app
RUN corepack enable pnpm
 
COPY package.json pnpm-lock.yaml ./
COPY prisma ./prisma/
RUN pnpm install --frozen-lockfile
 
# 阶段 2：构建
FROM node:20-alpine AS builder
WORKDIR /app
RUN corepack enable pnpm
 
COPY --from=deps /app/node_modules ./node_modules
COPY . .
 
RUN pnpm prisma generate
RUN pnpm build
 
# 清理开发依赖
RUN pnpm prune --prod
 
# 阶段 3：运行时
FROM node:20-alpine AS runner
WORKDIR /app
 
RUN addgroup --system --gid 1001 nodejs && \
    adduser --system --uid 1001 expressjs
 
COPY --from=builder --chown=expressjs:nodejs /app/dist ./dist
COPY --from=builder --chown=expressjs:nodejs /app/node_modules ./node_modules
COPY --from=builder --chown=expressjs:nodejs /app/package.json ./
COPY --from=builder --chown=expressjs:nodejs /app/prisma ./prisma
 
USER expressjs
 
HEALTHCHECK --interval=30s --timeout=3s --start-period=10s --retries=3 \
  CMD wget --no-verbose --tries=1 --spider http://localhost:3000/health || exit 1
 
EXPOSE 3000
CMD ["node", "dist/index.js"]

基于上面的 Dockerfile，请生成完整的 Kubernetes 部署配置：
- 命名空间：my-api-prod
- 3 个副本
- 使用 Ingress 暴露服务（域名：api.example.com）
- 数据库连接字符串通过 Secret 注入
- 启用 HPA（CPU 70% 触发扩容，最大 10 副本）
- 包含 NetworkPolicy

# 构建镜像
docker build -t my-api:v1.0.0 .
 
# 扫描漏洞
trivy image my-api:v1.0.0
 
# 查看 AI 修复建议
docker scout recommendations my-api:v1.0.0
 
# 检查镜像体积
docker images my-api:v1.0.0
# 预期：约 80-120MB（对比未优化的 ~800MB+）

# 应用配置
kubectl apply -f k8s/namespace.yaml
kubectl apply -f k8s/secrets.yaml
kubectl apply -f k8s/deployment.yaml
kubectl apply -f k8s/service.yaml
kubectl apply -f k8s/ingress.yaml
kubectl apply -f k8s/hpa.yaml
 
# 验证部署
kubectl get pods -n my-api-prod
kubectl get svc -n my-api-prod
 
# 用 K8sGPT 检查是否有问题
k8sgpt analyze --filter=Pod,Service,Ingress --namespace=my-api-prod --explain

# .github/workflows/release.yml
name: Release Desktop App
 
on:
  push:
    tags: ['v*']
 
jobs:
  build:
    strategy:
      matrix:
        include:
          - platform: macos-latest
            target: aarch64-apple-darwin
          - platform: macos-latest
            target: x86_64-apple-darwin
          - platform: ubuntu-latest
            target: x86_64-unknown-linux-gnu
          - platform: windows-latest
            target: x86_64-pc-windows-msvc
    runs-on: ${{ matrix.platform }}
    steps:
      - uses: actions/checkout@v4
      - name: Setup Rust
        uses: dtolnay/rust-toolchain@stable
        with:
          targets: ${{ matrix.target }}
      - name: Setup Node
        uses: actions/setup-node@v4
        with:
          node-version: 20
      - name: Install dependencies
        run: npm ci
      - name: Build Tauri app
        uses: tauri-apps/tauri-action@v0
        with:
          tagName: ${{ github.ref_name }}
          releaseName: 'App ${{ github.ref_name }}'