| 现代方式 | TokenRequest 投射到 Pod 卷，自动轮换、绑定受众与有效期 |
|---|---|
| 旧方式 | 长期 Secret 型令牌（k8s 1.24+ 默认不再自动创建） |
| 原则 | 按需授权、限制受众、不用时撤销 |
投射令牌片段
投射令牌片段
volumes:
- name: token
projected:
sources:
- serviceAccountToken:
path: token
expirationSeconds: 3600
audience: api多数应用并不需要访问 API Server：不需要就别挂，减少凭据暴露面。