### ① 组件是什么 Webhook 是准入阶段的外部回调服务：对象提交时 API Server 把内容转给 Webhook，由它返回放行或拒绝，实现动态、可编程的准入校验。它是 EX-A-25 准入体系的可编程扩展点。 ### ② 语言与 C 库 Webhook 服务自身任意语言，经 HTTPS socket/TLS 被回调。API Server 侧 Go goroutine，不 fork。 ### ③ 运行机制 配置规则指定哪些资源触发回调，API Server 把对象序列化发给 Webhook，Webhook 校验后回决策，拒绝则对象落不了 etcd。 ### ④ 常见配置缺陷 - Webhook 服务被投毒或替换为恶意实现，对所有请求返回放行甚至篡改对象（本册不提供恶意 Webhook 源码）。 - Webhook 通信未校验服务端身份，可被中间人替换。 - 失败策略 fail-open，故障时全放行。 - Webhook 自身以高权调用 API，被攻破后成为跳板。 ### ⑤ 对应攻击链路 Webhook 后门是供应链+准入的复合环：篡改可信 Webhoo