Kustomize如何在多overlay中复用同一补丁且不使用LoadRestrictionsNone

原有方案失败原因 #

• 方案一（将补丁作为独立资源引入）失败原因：Kustomize 补丁的生效范围是当前kustomization文件管理的资源集合，独立的TestPatch kustomization自身不包含待补丁的Cluster资源，补丁找不到匹配目标就会抛出no matches for Id Cluster...错误，补丁本身不能作为独立资源跨层级生效。
• 方案二（直接引用上级目录补丁文件）失败原因：Kustomize 默认安全加载规则要求，所有被引用的文件必须落在当前kustomization文件所在目录的子目录树范围内，直接引用同级/上级路径会触发路径越界拦截，使用--load-restrictor LoadRestrictionsNone绕过限制属于官方不推荐的非安全操作，存在路径遍历风险。

推荐方案：使用 Kustomize Component 存放可复用补丁 #

Component 是 Kustomize 原生提供的可复用配置片段管理能力，专门用来解决跨环境复用补丁、通用配置的场景，不需要修改安全加载参数，也不需要重复维护文件。

调整后的目录结构 #

├── release
│  ├── VariantA
│  │  ├── kustomization.yaml
│  │  └── cluster_a.yaml
│  └── VariantB
│     ├── kustomization.yaml
│     └── cluster_b.yaml
└── test
   ├── common
   │  └── test-patch
   │     ├── kustomization.yaml
   │     └── common_cluster_patch.yaml
   ├── TestVariantA
   │  └── kustomization.yaml
   └── TestVariantB
      └── kustomization.yaml

文件配置说明 #

1. 通用补丁组件配置：编辑test/common/test-patch/kustomization.yaml，标记当前目录为Component类型，关联通用补丁：

apiVersion: kustomize.config.k8s.io/v1alpha1
kind: Component
patches:
- path: common_cluster_patch.yaml

2. 测试变体配置：两个测试变体的kustomization文件通过components字段引入通用补丁，以TestVariantA为例，编辑test/TestVariantA/kustomization.yaml：

apiVersion: kustomize.config.k8s.io/v1beta1
kind: Kustomization
resources:
- ../../release/VariantA
components:
- ../common/test-patch

TestVariantB的配置逻辑完全一致，仅需将resources字段的引用路径替换为../../release/VariantB即可，components部分无需修改。

方案优势 #

• 通用补丁仅需维护一份，所有测试变体统一引用，不存在多副本不一致问题
• 完全符合Kustomize默认的文件加载安全规则，不需要添加任何绕过限制的启动参数
• 补丁作用域准确：组件内的补丁只会作用于引用该组件的kustomization所管理的资源，不会出现找不到匹配对象的报错
• 扩展性强，后续新增测试环境通用的补丁、配置挂载、环境变量等内容，都可以统一放在common组件内维护，所有引用的变体自动生效。

注：Component特性在Kustomize v3.7.0及以上版本默认稳定支持，无需开启额外特性开关。

内容的提问来源于stack exchange，提问作者Matthew Booth