上生产前补的 6 件事:RBAC 逐条收敛、distroless、CI 六道门、镜像签名、可观测性、Helm 交付;5 件明确不做;以及写这篇时自查出的 Kyverno 策略结构错误。