以 diegolnasc/kubernetes-best-practices 仓库为蓝本过一遍 K8s 生产实践，顺手补上 Gateway API、ValidatingAdmissionPolicy、原生 Sidecar 这些仓库还没覆盖的新特性。

在K3s homelab环境中部署ZITADEL作为OIDC身份提供者，结合oauth2-proxy和Traefik Gateway API的ForwardAuth机制，为所有自托管服务实现统一的SSO单点登录。