ingress-nginx 版本演进全解读从 Changelog 看控制器发布历史、破坏性变更与安全加固路线【免费下载链接】ingress-nginxIngress NGINX Controller for Kubernetes项目地址: https://gitcode.com/GitHub_Trending/in/ingress-nginx本篇技术指南以仓库根目录下的 Changelog.md 为主干系统梳理 ingress-nginx 从 v0.7 到 v1.5.1 的完整发布历史与演进脉络覆盖镜像与版本管理、Kubernetes API 兼容策略、动态配置与 Leader Election 迁移、Prometheus 指标变更、注解与安全加固等关键主题。读完本文你将能够根据版本号快速判断某个功能或安全修复首次出现的时间点并理解各版本升级时的破坏性变更与升级前置条件。Changelog 的组织方式总入口 分版本明细在当前仓库中变更记录采用了总目录 分版本文件的双层结构根目录的 Changelog.md 是早期版本的完整记录从 v1.5.1 一路回溯到 v0.7并指明所有新变更已迁移至 changelog 目录原文All New change are in ./changelog。changelog/ 目录按控制器版本拆分存放了后续版本的明细例如controller-1.15.1.md、controller-1.10.0.md、controller-1.9.0.md等覆盖 v1.6.4 到 v1.15.1。分版本文件的格式由 changelog/controller.md.gotmpl 模板定义每个版本条目依次包含控制器版本号、镜像清单含 registry、tag 与 digest、变更列表All changes、依赖更新Dependency updates以及与前一个版本对比的 Full Changelog 链接。以最新收录的 changelog/controller-1.15.1.md 为例其结构完全遵循该模板记录了控制器镜像registry.k8s.io/ingress-nginx/controller:v1.15.1、NGINX 基础镜像构建触发、Go 依赖更新、CI 中 Kubernetes 升级到 v1.35.3 等事项。仓库顶层的版本信息文件可作为旁证TAG当前标注v1.15.0NGINX_BASE指向registry.k8s.io/ingress-nginx/nginx:v2.2.8GOLANG_VERSION标注1.26.1。这说明 Changelog.md 收录的 v1.5.1 只是总文件记录的最后一个版本此后的版本历史全部走changelog/目录。镜像与版本管理从 quay.io 到 registry.k8s.ioChangelog 完整记录了控制器镜像托管地址的数次迁移这是运维升级时最容易踩坑的点早期版本0.7 ~ 0.9-beta.17 时代镜像发布在gcr.io/google_containers/nginx-ingress-controller。0.9-beta.16 起迁移到quay.io/kubernetes-ingress-controller/nginx-ingress-controller。0.34.0 起切换到gcr.ious.gcr.io/k8s-artifacts-prod/ingress-nginx/controller等多区域镜像并开始使用 cloud-build 构建镜像。0.35.0 起使用k8s.gcr.iovanity domain。从 v1.4.0 / v1.5.1 起镜像地址固定为registry.k8s.io/ingress-nginx/controller且同时发布controller与controller-chroot两个镜像变体。自 v1.2.0 引入 chroot 能力后镜像 Digest 固定成为标配。例如 v1.5.1 的两个镜像为registry.k8s.io/ingress-nginx/controller:v1.5.1sha256:4ba73c697770664c1e00e9f968de14e08f606ff961c76e5d7033a4a9c593c629 registry.k8s.io/ingress-nginx/controller-chroot:v1.5.1sha256:c1c091b88a6c936a83bd7b098662760a87868d12452529bad0d178fb36147345按 Digest 拉取sha256:后缀可以保证集群中运行的二进制与配置的可复现性这在生产环境升级策略中是推荐做法。当前仓库NGINX_BASE文件同样使用sha256digest 引用 NGINX 基础镜像与之一脉相承。运行时与依赖版本NGINX / Golang / Alpine 的迭代节奏Changelog 中对运行时版本升级的记录非常密集可以提炼出一条清晰的迭代主线版本NGINXGo基础系统关键说明1.5.11.21.61.19.2—修复 Service 名称长度 BugPR 9245、CVE 修复1.3.1—1.19Alpine 3.16.2开始数据面/控制面分离迁移1.1.31.19.10—Alpine 3.14.4修复 OpenSSL CVE-2022-0778、Libxml2 CVE-2022-233081.0.0—1.17—仅支持 Kubernetes v1.190.42.01.19.61.15.6—client-go v0.20.00.40.01.19.31.15.2—结构化日志klog切换0.35.01.19.21.15—迁移到 klog v20.33.01.19.0——TLSv1.3 默认开启0.27.01.17.71.13.4Alpine重大迁移用户 UID 变为 101需更新runAsUser0.25.0OpenResty 1.15.81.12.6—从 NGINX 迁移到 OpenResty0.18.01.15.2——动态配置默认启用、AJP 支持其中 0.27.0 的 Alpine 迁移是重要警戒点官方 Changelog 明确提示由于迁移到 alpinelinux用户 UID 发生变化请确保更新runAsUser: 101否则控制器将无法启动CrashLoopBackOff。0.34.1 也曾因 go 1.14.5 修复而升级1.1.1 则使用 Go v1.17.6 与 gRPC v1.43.0 构建。这些版本节奏表明控制器运行时依赖的升级往往与安全修复、平台支持arm64、s390x、Darwin arm64绑定在一起。Kubernetes 兼容性与破坏性变更路线Changelog 中最重要的信息类别是破坏性变更Breaking Changes它决定了集群升级前必须核对的前置条件v1.0.0重大破坏性变更仅支持 Kubernetes v1.19弃用networking.k8s.io/v1beta1的 Ingress 对象所有清单必须改用networking.k8s.io/v1。同时已知问题控制器强制要求集群级 IngressClass 访问权限否则无法启动issue #7510、#7502 跟踪v1.0.4 中缓解。v1.0.5引入注解值字符串 sanitization净化注解值中包含location、by_lua等敏感词会丢弃该 Ingress 的协调reconciliation使用 mod_security 等功能的用户需要注意被拦截的词需要管理员手动放行。v1.1.0将annotation-value-word-blocklist默认值改回空列表以保持向后兼容回退 PR 7874 但保留功能官方仍建议管理员配置合理的阻断词表。v1.2.0首次引入将 nginx 进程 jail/chroot 在控制器容器内部的能力提供额外安全层保护 ServiceAccount 等敏感信息同时实现对象深度检查deep inspection功能遍历 Ingress spec 检查可能的配置逃逸尝试。v1.2.1移除 NGINX 中的 root 与 alias 指令以规避潜在安全攻击。v1.3.0移除 Kubernetes v1.19.0 支持新增 v1.24.0 支持开始需要coordination.k8s.io/leases资源权限用于 Leader Election 锁。v1.3.1Leader Election 完全迁移到 Lease API不再使用 ConfigMap。官方给出的平滑升级路径是先部署 v1.3.0自动完成选举锁合并再安全升级到 v1.3.1。同时随 Kubernetes v1.25 发布正式放弃对 legacy 版本 1.0.0 的控制器的支持。v1.4.0从 Endpoints 迁移到EndpointSlices弃用 Kubernetes v1.20-1.21新增 v1.25 支持当时受支持版本为 v1.22 ~ v1.25。仓库中与这些变更对应的实现证据包括internal/ingress/controller/下的 controller 主流程、endpointslices.goEndpointSlices 支持以及internal/ingress/annotations/下数十个注解解析包sanitization 相关能力在internal/ingress/annotations/parser等位置。v1.3.1 的 Lease 迁移可参考 internal/ingress/controller/process 与 store 相关实现。动态配置与无中断演进从动态证书到 EndpointSlicesChangelog 展示了控制器从静态重载向动态更新演进的三步关键路线0.19.0引入--enable-dynamic-certificates标志SSL 证书创建/更新/删除时不再 reload NGINX而是动态提供服务配套 Lua 模块ssl_certificate_by_lua_blockPR 2889、2923、2965。0.24.0动态 SSL 模式成为默认PR 38080.18.0 起动态后端配置默认启用PR 2794配合 Lua 实现 session affinitysticky session。1.4.0从 Endpoints 切换到EndpointSlicesPR 8890减少大规模集群下 API Server 与控制器之间的对象数量与同步开销。与减少不必要的 reload相关的优化也贯穿始终0.26.0 引入/wait-shutdownpreStop 钩子改善优雅排空连接将terminationGracePeriodSeconds从 30 秒提升到 300 秒同时将worker-shutdown-timeout从默认 10s 调整为 240s官方提示该值在 reload 期间会消耗更多内存直到旧 worker 被替换lifecycle: preStop: exec: command: - /wait-shutdown0.26.0 还引入了 mimalloc 作为 malloc 的替代可通过环境变量启用env: - name: LD_PRELOAD value: /usr/local/lib/libmimalloc.so这些工程细节在 rootfs/Dockerfile 与cmd/waitshutdown/main.go中均有对应实现。监控指标演进Prometheus 指标名的三次重构Changelog 记录了 Prometheus 指标的三次重要变化对已有告警与 Grafana 面板的迁移影响极大0.10.0按 Prometheus 命名规范重构 Nginx 默认指标例如nginx_active_connections_total→nginx_connections_total{stateactive}current_waiting_connections_total→nginx_connections{statewaiting}等。0.16.0移除 VTS 模块实现全新的 Prometheus 指标采集改为经 unix socket 接收 Lua 上报的指标。v1.4.0又一次系统性指标重构——新增_request_duration_seconds、_connect_duration_seconds、_header_duration_seconds、_response_duration_seconds四个 Histogram更新_response_size、_request_size、_requests弃用_bytes_sent与ingress_upstream_latency_seconds移除ingress_upstream_header_seconds。此外1.1.2 修复了nginx_ingress_controller_requests指标的标签基数不一致问题并为 requests counter 增加了 path 与 method 标签PR 8201。仓库中对应的指标定义位于 internal/ingress/metric 目录官方 Grafana 面板位于 deploy/grafana/dashboards含 nginx.json 与 request-handling-performance.json。注解与功能演进canary、mirror、auth、限流与重写Changelog 是注解能力时间线的权威索引以下是按主题归纳的关键节点Canary金丝雀发布0.21.0 新增 canary 注解0.22.0 完善 canary 与主 server 的合并逻辑0.23.0 新增canary-by-header-value注解PR 3619。仓库对应实现见 internal/ingress/annotations/canary/。Mirror流量镜像0.26.0 支持将请求镜像到不同后端PR 43790.29.0 重构 mirror 特性移除多余注解PR 50151.2.1 为 mirror 注解增加 Host 头PR 8178。外部认证0.9-beta.3 增加auth-signin注解0.25.0 将外部认证从 opt-in 改为 secure-by-defaultPR 35060.26.0 引入 auth 缓存注解auth-cache-key与auth-cache-durationPR 42781.5.1 修复外部认证 401/403 处理。限流0.40.0 新增limit-burst-multiplier注解PR 61010.42.0 支持自定义外部认证重定向 URL 参数PR 6294。重写0.22.0 是rewrite-target注解的破坏性变更版本PR 3174同时移除了add-base-url与base-url-scheme注解0.24.0 将x-forwarded-prefix从布尔值改为字符串PR 3786。会话保持0.9-beta.2 引入affinitysticky session注解0.29.0 增加 Cookie SameSite 支持1.4.0 增加 sticky cookie domain 设置注解PR 9088。SSL/证书0.26.0 支持proxy_ssl_*指令与 FastCGI 后端1.2.0 增加auth-tls-match-cn注解0.40.0 起默认关闭server-tokens、ssl-session-tickets、use-gzip并将upstream-keepalive-requests调为 10000、upstream-keepalive-connections调为 320。这些注解的解析器在当前仓库internal/ingress/annotations/下都有对应子包authreq、canary、mirror、ratelimit、rewrite、sessionaffinity、proxyssl 等且多数带有同名_test.go单元测试文件可作为深入阅读的入口。安全加固路线CVE 修复与攻击面收敛安全是 Changelog 反复出现的主题汇总如下CVE 修复0.21.0 修复 HTTP/2 漏洞 CVE-2018-16843 / CVE-2018-168440.26.0 修复 CVE-2018-16843/16844、CVE-2019-9511/9513/9516PR 44401.1.3 修复 OpenSSL CVE-2022-0778 与 Libxml2 CVE-2022-233081.5.1 修复 CVE-2022-32149、CVE-2022-27664、CVE-2022-1996。攻击面收敛1.2.1 移除 root/alias 指令1.2.0 引入 chroot 与对象深度检查0.28.0 修复 auth-type basic 注解相关缺陷 CVE-2020-85530.16.2 开始以非 root 用户运行runAsUser: 33www-data并只保留NET_BIND_SERVICE能力。输入净化1.0.5 引入注解值 sanitization1.1.0 将默认阻断词表置空并建议管理员主动配置annotation-value-word-blocklist。工程化与生态Helm Chart、kubectl 插件与 e2eHelm Chart0.31.0 起将stable/nginx-ingressChart 迁移进本仓库维护0.42.0 起支持 KEDA 自动伸缩PR 6493Chart 文档与参数由 helm-docs 自动生成。当前 Chart 位于 charts/ingress-nginx/其 values.yaml 是控制器部署参数的权威来源。kubectl 插件0.23.0 引入 kubectl 插件Alpha后续版本持续完善lint、dbg、ingresses 等子命令当前源码在 cmd/plugin/。调试与诊断0.23.0 增加 debug 二进制以获取 Lua 运行时信息0.24.0 增加dbg certs命令PR 37990.26.0 将 Go profiling 从 10254 端口移至localhost:10245通过kubectl port-forward访问http://localhost:10245/debug/pprof/。e2e 体系Changelog 中大量 PR 围绕 e2e 测试框架演进minikube → kind → kubeadm-dind-cluster → Prow/Testgrid当前 e2e 位于 test/e2e/。结论如何用这份 Changelog 指导升级决策结合 Changelog.md 与 changelog/ 目录可以形成一套可复用的升级检查清单核对 Kubernetes 版本兼容区间以 v1.0.0networking.k8s.io/v1、v1.3.0v1.24 支持、v1.4.0v1.25 支持、EndpointSlices等里程碑确定目标集群版本是否在支持区间内。核对 Leader Election 与 RBACv1.3.1 起必须为coordination.k8s.io/leases授权若从 v1.3.0 之前升级建议按官方路径先过 v1.3.0 完成选举锁合并。核对镜像地址与 Digest以目标版本对应的registry.k8s.io/ingress-nginx/controller[:tag]sha256:...为准避免因镜像仓库迁移quay.io → gcr.io → registry.k8s.io引入不一致。核对破坏性注解rewrite-target0.22.0、x-forwarded-prefix0.24.0、注解值 sanitization1.0.5等会直接影响存量 Ingress 清单。核对监控面板指标名在 0.10.0、0.16.0、v1.4.0 三次重构升级后需同步更新告警规则与 Grafana Dashboard仓库内置面板见 deploy/grafana/dashboards。通过将本文归纳的各主题与 changelog/ 中对应版本文件逐条对照即可在升级前快速评估风险面制定平滑迁移方案。【免费下载链接】ingress-nginxIngress NGINX Controller for Kubernetes项目地址: https://gitcode.com/GitHub_Trending/in/ingress-nginx创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考