如何让Helm Chart中自定义securityContext完全覆盖默认配置？

要实现「用户自定义任意字段则完全替代默认配置，否则使用默认Restricted PSS配置」的需求，核心是将默认配置与用户自定义配置分离，通过条件判断选择渲染目标，具体步骤如下：

1. 拆分values.yaml中的配置 #

将默认安全上下文和用户自定义字段分开定义，避免Helm自动合并：

# values.yaml
security:
  # 默认遵循Restricted PSS的容器安全上下文
  defaultContainerSecurityContext:
    runAsNonRoot: true
    runAsUser: 1000
    runAsGroup: 1000
    allowPrivilegeEscalation: false
    capabilities:
      drop:
        - ALL
    seccompProfile:
      type: RuntimeDefault
  # 用户自定义容器安全上下文，默认空对象
  containerSecurityContext: {}

2. 在模板中添加条件判断 #

在Deployment、StatefulSet等控制器模板的容器定义部分，通过empty函数判断用户是否提供了实际的自定义配置，选择渲染用户配置或默认配置：

# templates/deployment.yaml
spec:
  template:
    spec:
      containers:
        - name: {{ .Chart.Name }}
          securityContext:
{{- if not (empty .Values.security.containerSecurityContext) }}
{{ toYaml .Values.security.containerSecurityContext | indent 12 }}
{{- else }}
{{ toYaml .Values.security.defaultContainerSecurityContext | indent 12 }}
{{- end }}

效果验证 #

• 无自定义配置时：渲染默认的Restricted PSS安全上下文所有字段。
• 用户设置单个字段：比如执行helm install --set security.containerSecurityContext.runAsUser=1，最终渲染的securityContext仅包含runAsUser: 1，不会合并默认字段。
• 用户设置多个字段：自定义values.yaml中指定：

  security:
    containerSecurityContext:
      runAsUser: 0
      runAsGroup: 0
  

  最终渲染的安全上下文仅包含这两个字段，完全替代默认配置。

注意事项 #

如果用户显式设置security.containerSecurityContext: {}（空对象），由于empty函数会判定为空，仍会使用默认配置，符合「仅当用户定义任意实际字段时才覆盖」的需求。

内容的提问来源于stack exchange，提问作者Mo0rBy