如何让kube-linter仅对Kubernetes文件的PR变更内容进行lint检查？

要实现只对PR或变更的Kubernetes文件做lint检查，核心是先筛选出改动的目标文件，再将这些文件单独传给kube-linter的Docker命令，而非扫描整个目录。以下是具体实现步骤：

1. 提取变更的Kubernetes文件 #

先用git命令筛选出本次改动中涉及的K8s配置文件（支持yaml/yml/json格式）：

# 对比当前分支与主分支（比如main）的变更文件，筛选K8s格式
CHANGED_FILES=$(git diff --name-only origin/main...HEAD | grep -E '\.(yaml|yml|json)$')

如果是本地提交后检查，也可以用HEAD~1对比上一次提交：

CHANGED_FILES=$(git diff --name-only HEAD~1 HEAD | grep -E '\.(yaml|yml|json)$')

2. 用Docker运行kube-linter检查变更文件 #

通过挂载本地目录到容器，让kube-linter能访问到这些变更文件，然后只检查筛选后的文件：

# 先判断是否有变更的K8s文件
if [ -n "$CHANGED_FILES" ]; then
  # 挂载当前目录到容器的/kube目录，运行lint检查
  docker run --rm -v "$(pwd):/kube" stackrox/kube-linter lint $CHANGED_FILES
else
  echo "本次PR/提交没有改动Kubernetes配置文件，跳过lint检查"
fi

• --rm：容器运行结束后自动删除
• -v "$(pwd):/kube"：把本地当前工作目录挂载到容器内的/kube路径，确保容器能读取到本地的K8s文件
• lint $CHANGED_FILES：指定kube-linter只检查这些变更的文件

3. CI环境中的适配（以GitHub Actions为例） #

如果在CI流水线中使用，推荐用成熟工具获取变更文件，避免git命令的兼容性问题：

jobs:
  kube-lint:
    runs-on: ubuntu-latest
    steps:
      - name: 拉取代码
        uses: actions/checkout@v4
        with:
          fetch-depth: 0 # 需要拉取全量历史来对比分支

      - name: 获取变更的Kubernetes文件
        id: changed-k8s-files
        uses: tj-actions/changed-files@v41
        with:
          files: |
            **/*.yaml
            **/*.yml
            **/*.json

      - name: 运行kube-linter检查
        if: steps.changed-k8s-files.outputs.any_changed == 'true'
        run: |
          docker run --rm -v "$(pwd):/kube" stackrox/kube-linter lint ${{ steps.changed-k8s-files.outputs.all_changed_files }}

注意事项 #

• 确保git对比的分支正确：如果PR的目标分支不是main，要把origin/main换成对应的分支名
• 可以指定kube-linter镜像版本：比如stackrox/kube-linter:v0.6.0，避免版本更新带来的规则变动
• 如果K8s文件集中在某个子目录（比如./k8s），可以在git diff或CI工具中缩小范围，提升效率

内容的提问来源于stack exchange，提问作者Priyanka Kumari