Kustomize路径错误：引用base目录替换文件触发安全限制

一、报错根源：Kustomize的路径安全限制 #

Kustomize有严格的文件路径安全校验规则：当你以env/main作为Kustomize的工作根目录执行命令时，所有直接引用的非resource类文件必须位于该根目录或其子目录下，绝对不允许引用上级目录的文件。

• 为什么resources: -../../base能正常工作？因为resources引用的是另一个完整的kustomization.yaml，Kustomize会把base目录当作独立的子工作区来处理，其内部的文件引用不受当前根目录的限制。
• 但replacements是直接指向单个yaml文件，不属于跨kustomization的resource引用，所以会触发安全校验，判定你引用了根目录外的文件，抛出错误。

二、Kustomize执行流程的关键细节 #

当你执行kubectl diff --kustomize .时，整个流程是这样的：

1. 以当前目录（env/main）为工作根目录，加载该目录下的kustomization.yaml。
2. 处理resources字段：发现../../base后，会切换到base目录，加载其kustomization.yaml，处理里面的resources、transformers等配置，生成对应的资源清单，再把这些清单带回当前工作根目录继续处理。
3. 处理当前kustomization.yaml的其他字段（images、replacements、configMapGenerator等）：
   • 处理replacements时，会直接解析你写的../../base/replacements/xxx.yaml路径，此时Kustomize会检查该路径是否在当前工作根目录（env/main）或其子目录下，显然不在，所以触发安全错误。
4. 所有处理完成后，生成最终的资源清单，再执行diff对比。

三、不移动replacements目录的解决方案 #

方案1：把replacements配置移到base的kustomization.yaml里 #

既然base目录执行命令没问题，说明base作为根目录时可以引用自己的replacements文件。你可以把replacements配置从env/main的kustomization.yaml移到base的文件中：

# base/kustomization.yaml
apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization

transformers:
  - tranxformers.yaml

configMapGenerator:
  - name: xxx
    namespace: name-space
    envs:
     - configs/env-file

resources:
  - applications/deployment.yaml

# 添加replacements配置
replacements:
- path: replacements/file1.yaml
- path: replacements/file2.yaml
- path: replacements/file3.yaml

这样当env/main引用base作为resource时，replacements会在base的工作区被处理，不会触发路径安全限制。

方案2：用软链接（仅限Linux/macOS） #

在env/main目录下创建指向base/replacements的软链接：

cd env/main
ln -s ../../base/replacements replacements

然后修改env/main的kustomization.yaml中的replacements路径：

replacements:
- path: replacements/file1.yaml
- path: replacements/file2.yaml
- path: replacements/file3.yaml

这样Kustomize会认为文件在当前根目录的子目录下，通过安全校验。

方案3：调整目录结构 #

把replacements目录放到公共子目录下，比如common/replacements，然后env/main和base都用相对路径引用它，确保路径在各自的工作根目录范围内。

内容的提问来源于stack exchange，提问作者Jatin Mehrotra