云原生动态：OPA v1.19.0修复Compile API注入、Cilium 1.20.0发布与cert-manager v1.21.1紧急修复
云原生动态：OPA v1.19.0修复Compile API注入、Cilium 1.20.0发布与cert-manager v1.21.1紧急修复
云原生安全与网络基础设施迎来密集版本更新。Open Policy Agent发布v1.19.0，修复Compile API的SQL注入向量并将WASM运行时切换为纯Go实现；Cilium发布1.20.0大版本，Gateway API升级至v1.6.1并引入Listener委托能力；cert-manager发布v1.21.1紧急修复，解决续期策略禁用触发的控制器崩溃。
主要新闻
OPA v1.19.0发布：修复Compile API SQL注入，WASM运行时去除cgo依赖
Open Policy Agent发布v1.19.0。本版本最重要的修复是消除了Compile API中的一个SQL注入向量：此前通过ReplComplete/Compile相关API，Rego源码存在被解释为SQL的风险，修复后该攻击面被封闭。同时OPA对Rego语言语义进行了更严格的安全性收紧，:=运算符的声明规则更为严格，变量重复声明将直接报错，减少策略编写阶段的潜在误用。在运行时层面，v1.19.0将WASM执行引擎从wasmtime-go替换为wazero，彻底移除cgo依赖，使OPA具备纯净的静态编译与跨平台构建能力，显著降低了供应链与构建复杂度。此外新版本在启动时会对配置文件中未知或不支持的选项发出警告，新增strings.split_n(string, delimiter, n)内置函数，并修复了REPL行读取器问题。
Source: open-policy-agent/opa v1.19.0
Cilium 1.20.0发布：Gateway API升至v1.6.1，引入Listener委托
Cilium正式发布1.20.0，本版本累计合并超过2,660个提交，由来自Datadog、Google、Microsoft等组织的1,100余位贡献者共同完成，GitHub Stars突破24,800。网络层方面，Cilium的Gateway API支持从v1.4直接升级至v1.6.1，涵盖了上游两个版本间毕业的全部能力（含TCPRoute/UDPRoute四层路由晋级标准）。新引入的Delegate Gateway Listeners能力让应用团队通过ListenerSets挂接并管理自己的监听器，而平台团队仍保留对共享Gateway的所有权，实现网关的”平台治理+租户自治”分层。官方升级指南特别提示：使用旧版Mutual Authentication、Envoy Go扩展、Kafka感知策略、cilium.io/v2alpha1版本的CiliumNodeConfig API、libnetwork集成或自定义CNI配置的用户在升级时需采取相应动作。社区层面，Cilium采纳了Generative AI Policy规范AI辅助协作，并发布了两本新书（O’Reilly《Cilium: Up and Running》及《Buzzing Beyond Clouds》儿童绘本）。
Source: Cilium 1.20.0 Release
cert-manager v1.21.1紧急修复：续期策略禁用触发控制器崩溃
cert-manager发布v1.21.1补丁版本，修复多项与证书生命周期相关的关键缺陷。最值得注意的是，当证书设置spec.renewal.policy: Disabled时，控制器可能触发panic崩溃；此外还修复了Secret informer的一处回归问题（导致日志刷屏），以及当ACME DNS-01验证所需的Solver Secret在Issuer创建之后才创建时、Issuer卡在Valid/InvalidSolver状态的异常。维护团队明确建议”所有用户均应升级”——对于运行大量证书自动化的生产集群，续期策略与DNS-01解算器的边界条件是高发故障场景，该补丁直接降低了证书链断裂与控制器不稳定导致的风险。
Source: cert-manager v1.21.1
分析
本周的新闻共同指向云原生基础设施三个层面的演进：
-
策略引擎自身正成为安全关注焦点：OPA v1.19.0对Compile API SQL注入的修复，说明策略即代码（Policy-as-Code）引擎本身也是攻击面——任何接受外部输入并执行解释的组件都需要严格输入校验。将WASM运行时从wasmtime-go替换为wazero、去除cgo依赖，不仅带来静态编译的便利，更减少了原生依赖带来的供应链与二进制供应链风险。对平台团队而言，及时跟进此类”安全修复型”版本应成为基础设施升级的常规纪律。
-
网络标准继续向Gateway API收敛：Cilium 1.20.0的Gateway API直接跨级升级至v1.6.1，紧随上游Gateway API v1.6的发布节奏（昨日新闻已报道TCPRoute/UDPRoute晋级GA）。这印证了Kubernetes网络层的确定性方向：L4/L7统一标准、平台与租户的责任边界显式化。Listener委托机制则为大型集群提供了”平台拥有网关、租户管理监听器”的治理范式，值得平台工程团队作为设计参考。
-
证书自动化的可靠性是生产的底线工程：cert-manager v1.21.1修复的续期策略与ACME DNS-01边界条件问题，虽属边缘场景，但一旦触发将导致证书续期中断甚至控制器崩溃，直接影响集群内所有TLS服务。成熟组件的小版本补丁往往承载着生产环境最真实的故障经验，”所有用户均应升级”的措辞应当被认真对待。
结论
OPA的注入修复与运行时重构、Cilium 1.20.0的网络标准升级、cert-manager的紧急补丁，共同提醒云原生从业者：基础设施的竞争力不仅体现在新功能，更体现在安全加固与故障响应速度。建议各团队及时评估升级路径，将安全修复型版本纳入常规滚动计划，并持续关注Gateway API与策略引擎生态的演进。