### ① 组件是什么 GitOps 把 Git 仓库作为集群期望状态的唯一来源，控制器持续把集群对齐仓库声明，提交即发布，实现声明式持续部署。 ### ② 语言与 C 库 同步控制器（Argo CD/Flux，Go）goroutine，不 fork。经 API socket/TLS 对齐，仓库经 git/socket 拉取。 ### ③ 运行机制 控制器监听仓库变更，把仓库清单与集群实际对比，自动同步偏差，仓库成了集群的事实定义。 ### ④ 常见配置缺陷 - 仓库写权过宽或泄露（仓库即集群：拿到写权等于改集群期望状态）。 - 同步控制器凭证过宽，可直接改集群。 - 分支保护缺失，未经审查的提交被自动应用。 - 仓库内明文存凭证（占位）。 ### ⑤ 对应攻击链路 "仓库即集群"：仓库写权泄露或被投毒，恶意提交被自动同步进集群，是供应链+运维面的复合环。同步控制器高权是放大器。 ### ⑥ 对应 C 库 git/socket、API socket/TLS。凭证文件读写。 ### ⑦ 对应工具 仓库写权限与分支保护审计、同步控制器 SA 核查、仓库敏感值扫描。