如何使用podAntiAffinity匹配动态标签限制单节点同代码版本Pod数量

方案1：部署时静态渲染匹配值（最推荐，适配K8s 1.18，无额外依赖） #

Kubernetes Pod亲和性/反亲和性的matchExpressions.values字段从设计上仅支持静态字符串数组，不支持fieldRef动态引用当前Pod的字段，该特性至今没有进入官方规划，这是你之前配置失效的根本原因。
你可以在CI/CD部署流程中直接把当前版本的k8s.git/commit-sha值渲染到反亲和性规则中即可，示例配置如下：

podAntiAffinity:
  requiredDuringSchedulingIgnoredDuringExecution:
  - podAffinityTerm:
      labelSelector:
        matchExpressions:
        - key: "k8s.git/commit-sha"
          operator: In
          values:
          - "当前部署版本的实际commit值" # 部署时由CI/CD工具（如Jenkins、GitLab CI、Argo CD等）自动替换为真实值
      topologyKey: kubernetes.io/hostname
    weight: 100

该规则完全满足你的需求：

• 同一节点上最多只能调度1个相同commit版本的Pod，避免同版本Pod扎堆
• 不同commit版本的Pod不受反亲和规则限制，可以共存于同一节点，灰度部署时不需要新增额外节点

方案2：使用变更准入控制器实现动态注入（适合大规模集群场景） #

如果你的集群存在大量需要类似规则的 workload，不想每个部署都做静态渲染，可以自行开发一个轻量的MutatingAdmissionWebhook：

• 监听Pod创建事件，识别带有k8s.git/commit-sha标签的Pod
• 自动把该标签的值注入到Pod的podAntiAffinity.matchExpressions.values字段中
• 无需修改业务侧的部署配置，集群层面统一生效

方案3：基于灰度版本标签拆分配置 #

如果你是用两个独立Deployment做灰度（如稳定版Deployment和灰度版Deployment），也可以分别给两个Deployment配置匹配各自版本标签的反亲和规则，无需关联commit值：

• 稳定版Pod带标签version=stable，反亲和规则匹配version=stable
• 灰度版Pod带标签version=canary，反亲和规则匹配version=canary
  效果和方案1完全一致。

内容的提问来源于stack exchange，提问作者Mark Robinson