mirrord 的开发者授权从脚本式操作改成 GitOps：每人一份 RoleBinding 与 ClusterRoleBinding 写进 Git，由 Argo CD 带 prune 同步；证书签发后无法吊销，能回收的只有授权。

把 mirrord OSS 接入 VS Code 时撞上一个 WebSocket 403，最后追到 K8s impersonation 的两条 authorization 链路，记录了排查、原理和最小修复。

给 mirrord OSS 做一套按 namespace 授权的开发者接入 demo：kubeconfig 走 Kubernetes CSR API 签发，ClusterRole 集中审查能力，授权和撤销都落在 RoleBinding 这一层。

通过一个 Spring Boot + MySQL + kind 的 Demo，记录如何用 mirrord 让本地进程「假装」自己是 K8s 里的 Pod，无需重新打镜像就能接入集群资源进行调试。

本地用 Kind 跑 Spring Boot 微服务，工具按问题挑：镜像循环慢就上模块级增量构建，改完代码快速验证交给 Tilt，IDE 打断点用 mirrord，GitOps 演练单独拉一个 ArgoCD。