Spring Boot 塞进 512M 容器，堆默认只有 128M
512M 的容器里不配 JVM 参数，Spring Boot 的最大堆只有 128M；把 -Xmx 设得比容器上限大，进程会被直接 OOMKilled。用 Spring Boot 4.1.1 和 JDK 21 在 Docker 里把三种情况实测了一遍。
# Kubernetes
围绕 Kubernetes 的技术文章与经验分享。
共 7 篇文章Argo CD 修了三个严重漏洞，3.3 至 3.5 都要升到对应补丁版
Argo CD 10 月 7 日公开三个安全公告，两个 Critical（CVSS 9.9）、一个 High（8.8），涉及 repo-server 命令执行和 AppProject 检查绕过。3.3、3.4、3.5 线分别升到 v3.3.15、v3.4.10、v3.5.4。
Kubernetes 计划在 1.38 拿掉 cgroup v1 回退，还跑在 v1 上的节点该在那之前迁到 v2
Kubernetes 1.35 起 kubelet 默认拒绝在 cgroup v1 节点上启动，官博称 failCgroupV1 回退计划在 1.38 移除。本文整理判断节点 cgroup 版本的命令、可照做的迁移清单，以及 JDK 8u372、11.0.16 等版本要求。
Istio 旧镜像和 Helm 仓库 12 月下线，10 月 13 日深夜还要再断一次
Istio 将于北京时间 10 月 13 日 23:00 至 10 月 14 日 02:00 再次断开 gcr.io/istio-release、registry.istio.io 和 Google 托管的 Helm 仓库，12 月这些地址正式退役。本文给出迁移到 docker.io/istio、blob.istio.io 与 ghcr.io 的排查命令和拉取缓存配置。
EKS 已支持 Kubernetes 1.37：Metrics API 正式稳定，HPA 默认可缩到零
Amazon EKS 与 EKS Distro 已支持 Kubernetes 1.37。Metrics API 进 GA，DRA 设备污点与容忍进 GA，HPA 缩到零默认开启。可按控制台、eksctl 或 IaC 升级，并用 cluster insights 预检。
OpenTelemetry k8sattributes v1：7 类属性更名与 Collector / EDOT 迁移
k8sattributes 升到 v1.0.0 后，只有 7 类标签/注解与 container.image.tag 属性改名；核心资源属性不变。默认只抽核心字段的配置影响很小，自定义查询需在 EDOT 9.6 前盘点，必要时双写过渡。
Kubemend：只会开 GitOps PR 的 K8s 修复 Agent
Kubemend 用「只读诊断 + 独立验证门禁 + 仅开 GitOps draft PR」把 K8s 修复 Agent 钉在 Git 变更流上，从不 kubectl apply。