用途：该技能面向 Kubernetes 准入控制场景，帮助编写生产可用的 CEL（Common Expression Language）表达式，用于 ValidatingAdmissionPolicy、CRD 的 x-kubernetes-validations 校验规则以及安全策略。适用需求包括：编写 ValidatingAdmissionPolicy 资源、创建 CRD 校验规则、执行安全策略（Pod Security Standards、镜像限制等）、校验标签与注解及资源限制、在无外部 Webhook 的情况下构建准入控制、从 OPA/Gatekeeper/Kyverno 迁移到原生 CEL、调试或优化已有 CEL 表达式。
主要能力：涵盖核心运算符（比较、逻辑、算术、in、三元）与常用函数（has、size、contains、startsWith、endsWith、matches、split、lower、upper、trim、all、exists、exists_one、filter、map、quantity、isQuantity、url）。列出可用上下文变量：ValidatingAdmissionPolicy 中的 object、oldObject、request、params、namespaceObject；CRD 校验中的 self、oldSelf。提供安全策略、资源校验、标签注解校验、网络策略等常见模式，并说明性能优化（限制集合大小、避免 O(n^2)、使用精确匹配规则）与调试常见错误的修复方法。
使用方式：先明确资源类型、触发操作、强制条件以及是阻断还是仅审计；再设计表达式，始终用 has() 检查可选字段、优雅处理空值、利用短路求值、优先使用正向断言；随后编写 ValidatingAdmissionPolicy 与对应 Binding，先在 Audit 模式或 dry-run 下测试。命令示例：kubectl apply --dry-run=server -f test-resource.yaml；kubectl get events --field-selector reason=PolicyAudit。生成策略时提供完整 Policy YAML、Binding YAML、通过与否的测试资源、规则说明及部署指令。
限制与兼容性：ValidatingAdmissionPolicy 中的 CEL 在 Kubernetes 1.30+ GA，CRD 校验中的 CEL 在 1.29+ GA，更早版本需特性门控；生成策略前应确认目标集群版本。资料未提供该技能的收费、价格与其他平台支持信息。