自动化研究产物 — 非上游项目。

本仓库是由自动化工具链为拉瓦尔大学（Université Laval）硕士论文构建的一次性实验环境，用于复现已发表的 GitHub Actions 工作流漏洞。它是 CloudPirates-io/helm-charts 在提交 9f5a7186b46070ceae3e80740ab64955b88fc65a（2026-04-27）时的逐字快照，依据该项目自身的许可证重新分发，该许可证文件已原样包含在本快照中。

上游项目未参与其中，也从未成为攻击目标，此处研究的漏洞已公开。本仓库中的每个密钥和变量均为随机生成的虚拟值——不包含任何真实凭据。Action 引用和运行器镜像已固定为 2026-04-27 时解析到的版本；有关对快照所做的每项更改，请参阅工具链输出中的 pinning.md。

如有疑问或异议：[email protected]

CloudPirates 开源 Helm Charts

精选的适用于开源云原生应用的生产级 Helm charts 集合。 本仓库遵循云原生最佳实践，提供安全、文档完善且可配置的 Helm charts。

⚠️ 重要提示：自 2026 年 4 月 15 日起，所有变更日志仅存在于 GitHub release 描述中。旧版变更日志仅为向后兼容而保留。

可用 Charts

快速开始

前提条件

• Kubernetes 1.24+
• Helm 3.2.0+
• 底层基础设施支持 PV provisioner（如果启用持久化）

安装 Charts

# 从 Docker Hub registry
helm install my-release oci://registry-1.docker.io/cloudpirates/<chartname>

# 从 GitHub Container Registry (GHCR)
helm install my-release oci://ghcr.io/cloudpirates-io/helm-charts/<chartname>

# 从本地克隆
helm install my-release ./charts/<chart-name>

Chart 特性

本仓库中的所有 charts 均提供：

安全优先

• 加密签名：所有 charts 均使用 Cosign 签名，保障供应链安全
• 默认非 root 容器
• 尽可能使用只读根文件系统
• 已删除 Linux capabilities
• 已配置安全上下文
• 无硬编码凭据

生产就绪

• 全面的健康检查（存活、就绪、启动探针）
• 支持资源请求和限制
• 持久化存储配置
• 滚动更新策略
• 健康检查端点

高度可配置

• 详尽的 values.yaml，附带完整文档
• 支持现有 secrets 和 ConfigMaps
• 灵活的 ingress 配置
• 服务账户自定义
• 支持通用标签和注解

配置

每个 chart 均通过 values.yaml 提供丰富的配置选项。主要配置领域包括：

• 认证与安全：用户凭据、现有 secrets、安全上下文
• 存储：持久卷、存储类、备份配置
• 网络：服务、ingress、网络策略
• 扩展：副本数、自动扩缩、资源限制
• 监控：指标、服务监控器、健康检查

有关详细配置选项，请参阅各个 chart 的 README。

参与贡献

想要贡献？太棒了！表达支持的最基本方式是给项目加星标，或提交 issue。

⚠️ 重要提示：自 2026 年 1 月 22 日起，所有提交必须经过签名和验证。带有未签名提交的 PR 将不会被合并。

如果您想提交 PR，请阅读我们的贡献指南，了解如何设置环境以及我们要求的签名验证说明。

在我们的 Discord 服务器 上与我们和社区交流！
欢迎所有人，无论您是有问题、需要 chart 方面的帮助、想要贡献、想了解后续计划，还是只想和我们聊聊。

本项目由我们不断壮大的贡献者社区构建和维护！

使用 contrib.rocks 制作。

Chart 问题

针对这些 Helm charts 的具体问题：

• 查看各个 chart 的 README 文件以获取故障排除信息
• 查阅 chart 文档和示例
• 验证配置值
• 在 GitHub 上提交 issue