敏感信息泄露往往发生在 Secret 之外
Kubernetes Secret 管理要覆盖代码、镜像、CI/CD、etcd、Pod 挂载和日志输出，而不是只检查一个 API 对象。
开发侧
本地配置
Git 提交
风险：明文入库
交付侧
CI 变量
镜像构建
风险：构建泄露
集群侧
Secret 对象
etcd 存储
风险：权限过宽
运行侧
环境变量 / Volume
日志、Dump、调试 Shell
风险：二次暴露
最低治理线
禁止明文入库
最小权限读取
平台治理线
静态加密与轮换
审计 Secret 访问
运行治理线
减少环境变量暴露
限制调试与导出