mirrord 的开发者授权从脚本式操作改成 GitOps：每人一份 RoleBinding 与 ClusterRoleBinding 写进 Git，由 Argo CD 带 prune 同步；证书签发后无法吊销，能回收的只有授权。

把 mirrord OSS 接入 VS Code 时撞上一个 WebSocket 403，最后追到 K8s impersonation 的两条 authorization 链路 — 记录排查、原理和最小修复。

给 mirrord OSS 做一套按 namespace 授权的开发者接入 demo：kubeconfig 走 Kubernetes CSR API 签发，ClusterRole 集中审查能力，授权和撤销都落在 RoleBinding 这一层。