### ① 组件是什么 Helm 是 K8s 包管理器，用 Chart 模板把一组对象参数化打成可版本发布，负责渲染、安装、升级回滚。 ### ② 语言与 C 库 Go 编写，渲染与客户端 goroutine，不 fork。经 API socket/TLS 提交对象，模板文件 `open`/`read`。 ### ③ 运行机制 模板加 values 渲染成对象清单，提交 API Server，按版本管理发布历史，支持回滚。 ### ④ 常见配置缺陷 - 第三方 Chart 夹带特权配置与高权 SA，安装即引入弱点。 - values 里明文写口令令牌（占位）。 - 仓库来源不可信、依赖不锁版本。 - Tiller/客户端凭证过宽（旧版模型，按版本核对）。 ### ⑤ 对应攻击链路 恶意或被投毒 Chart 随安装引入高权配置，是供应链在打包层的落点。本册不提供恶意模板与提权 YAML。 ### ⑥ 对应 C 库 API socket/TLS。模板 `open`/`read`。 ### ⑦ 对应工具 Chart 来源与锁版本审计、values 敏感字段扫描、安装