K8s 集群默认"Pod 之间所有流量全通"——这在一台机器里挺好调，但一旦被攻破或出误连，横向移动没有拦截。前面有文档引述过"网络策略（NetworkPolicy）+ CNI 能收口"的基本概念，这篇把 NetworkPolicy 做深：它到底怎么按"标签选...