企业官网建设流程全解析

1. 为什么集群里的 AI 工具总在 Key 上翻车

Kubernetes 的 Ingress 七层负载，本质是把「域名 + 路径」翻译成「集群内某个 Service 的某个端口」。你写一条 rules，Nginx Ingress Controller 就帮你把外部流量按 Host 和 Path 分发到后端 Pod。听起来很干净，但一旦后端不是普通 Nginx，而是各种 AI 工具——Claude Code、Cline、Continue、Aider、OpenAI SDK 脚本——问题就来了：这些工具各自要配 base_url、api_key、model，散落在 settings.json、config.toml、环境变量、Secret 里，改一次 Key 要动五六个地方，集群里跑批处理任务时还得给每个 Pod 单独注入。

我试过最原始的玩法：给每个 AI 工具单独建一个 Secret，Ingress 后面挂一个自建转发服务。结果 Key 轮换那天，我改了 7 个 Deployment 的 env，重启了 3 个 StatefulSet，还是漏了一个 CronJob，第二天早上发现日报生成失败。这就是「k8s 从入门到放弃」的经典瞬间——不是 Ingress 难，是 Key 管理没统一。

这篇要解决的就是这个：用 Ingress 做七层入口，把集群内所有 AI 工具的请求统一指向一个 AI 网关，Key 只在一处维护。TaoToken 在这里扮演的角色是「统一 Key / API 通道」——你拿到一个 Key，配好 base_url，集群里所有工具都复用它。下面从 Ingress YAML 到 settings.json / config.toml 骨架，再到 curl 验证七层路由和 Key 生效，一步步跑通。

适合谁：已经能跑起一个单节点集群、装过 Nginx Ingress Controller、想让集群内 AI 工具接入统一通道的人。不需要你懂 Ingress 源码，但要知道 Service 和 Pod 的关系。

2. 前置：TaoToken 统一 Key 与集群网络准备

先说清楚 TaoToken 在这个链路里的位置。它不是替代 Ingress，也不是替代你的 AI 工具，而是提供一个统一的 API 入口：你从控制台拿一个 Key，所有工具用同一个 base_url 和 Key 发请求。官网是 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，API 入口是 https://taotoken.net/api （这个不加 UTM，直接用于配置）。

集群侧你需要准备三样东西：

第一，一个能用的 Ingress Controller。本文以 Nginx Ingress Controller 为例，假设你已经通过 Helm 或 manifest 装好，kubectl get pods -n ingress-nginx能看到 Running。

第二，一个测试用的后端服务。为了验证七层路由，我会用一个极简的 echo 服务当「假 AI 后端」，这样你能清楚看到 Host 和 Path 有没有正确转发。真实场景里你把它换成自己的网关 Service 即可。

第三，集群出网能力。Pod 要能访问外部 API，如果你的集群在私有网络里，需要确认 NAT 或出口策略允许 HTTPS 出站。这一步不涉及任何特殊网络工具，就是普通的出站连通性。

拿 Key 的路径：进控制台，找到 API Keys 页面，创建一个 Key。建议按用途命名，比如k8s-ai-gateway，方便后面在 Secret 里对应。控制台地址是 https://taotoken.net/console ，API Keys 页面是 https://taotoken.net/api-keys 。创建后先复制保存，页面刷新后通常不再完整显示。

注意：Key 不要硬编码进 YAML 明文。下面我会用 Secret 承载，再通过 envFrom 注入。这是集群里最基本的安全习惯。

模型对话入口在 https://taotoken.net/models ，你可以先用它确认 Key 能正常调通，再往集群里配。长期跑编码类 Agent 的话，Coding Plan 页面是 https://taotoken.net/coding-plan ，接入文档在 https://taotoken.net/doc 。

3. 可复制配置：Ingress YAML 与 AI 工具骨架

3.1 先建 Secret 承载统一 Key

apiVersion: v1 kind: Secret metadata: name: taotoken-secret namespace: default type: Opaque stringData: TAOTOKEN_API_KEY: "sk-你的Key" TAOTOKEN_BASE_URL: "https://taotoken.net/api"

应用：kubectl apply -f taotoken-secret.yaml。用stringData是为了写起来直观，K8s 会自动转成 base64。

3.2 部署一个 echo 后端当验证靶子

apiVersion: apps/v1 kind: Deployment metadata: name: echo-deploy namespace: default spec: replicas: 2 selector: matchLabels: app: echo template: metadata: labels: app: echo spec: containers: - name: echo image: hashicorp/http-echo:0.2.3 args: - "-text=hello from echo backend" ports: - containerPort: 5678 --- apiVersion: v1 kind: Service metadata: name: echo-svc namespace: default spec: selector: app: echo ports: - protocol: TCP port: 80 targetPort: 5678

这里 replicas 设 2，是为了让你在验证时能感受到七层负载确实分到了多个 Pod。

3.3 Ingress 七层路由规则

apiVersion: networking.k8s.io/v1 kind: Ingress metadata: name: ai-gateway-ing namespace: default annotations: nginx.ingress.kubernetes.io/rewrite-target: / nginx.ingress.kubernetes.io/proxy-body-size: "16m" nginx.ingress.kubernetes.io/proxy-read-timeout: "300" spec: ingressClassName: nginx rules: - host: ai-gateway.local http: paths: - path: /echo pathType: Prefix backend: service: name: echo-svc port: number: 80

proxy-read-timeout设 300 秒，是因为 AI 请求经常是流式长连接，默认 60 秒容易断。proxy-body-size放大到 16m，防止大 prompt 被拦。

3.4 集群内 AI 工具的 settings.json 骨架

以 Claude Code 类工具为例，配置文件通常放在~/.claude/settings.json或项目级.claude/settings.json：

{ "env": { "ANTHROPIC_BASE_URL": "https://taotoken.net/api", "ANTHROPIC_API_KEY": "sk-你的Key" } }

如果你在 Pod 里通过 envFrom 注入，可以写成：

{ "env": { "ANTHROPIC_BASE_URL": "${TAOTOKEN_BASE_URL}", "ANTHROPIC_API_KEY": "${TAOTOKEN_API_KEY}" } }

3.5 config.toml 骨架（Continue / Aider 类）

[models] provider = "openai" apiBase = "https://taotoken.net/api" apiKey = "sk-你的Key" model = "claude-sonnet-4-20250514"

Aider 的话用环境变量更省事：

export OPENAI_API_BASE="https://taotoken.net/api" export OPENAI_API_KEY="sk-你的Key" aider --model claude-sonnet-4-20250514

3.6 把 Secret 注入到 AI 工具 Pod

apiVersion: apps/v1 kind: Deployment metadata: name: ai-agent namespace: default spec: replicas: 1 selector: matchLabels: app: ai-agent template: metadata: labels: app: ai-agent spec: containers: - name: agent image: your-agent-image:latest envFrom: - secretRef: name: taotoken-secret

这样 Pod 里就有TAOTOKEN_API_KEY和TAOTOKEN_BASE_URL，工具启动时读取即可。Key 轮换时只改 Secret，kubectl rollout restart deployment/ai-agent一次搞定。

4. 验证：curl 打通七层路由与 Key 生效

4.1 验证 Ingress 七层路由

先拿到 Ingress Controller 的入口地址。如果是 NodePort：

kubectl get svc -n ingress-nginx ingress-nginx-controller

假设 NodePort 是 30080，节点 IP 是 192.168.1.100，用 curl 带 Host 头访问：

curl -H "Host: ai-gateway.local" http://192.168.1.100:30080/echo

预期返回：

hello from echo backend

多打几次，你会看到请求被分到不同 Pod。想看后端是谁，可以查 Pod 日志：

kubectl logs -l app=echo --tail=5

4.2 验证 Key 生效

在集群内起一个临时 Pod，用注入的环境变量直接调 API：

kubectl run curl-test --rm -it --image=curlimages/curl --restart=Never -- \ sh -c 'curl -s -o /dev/null -w "%{http_code}" \ -H "Authorization: Bearer $TAOTOKEN_API_KEY" \ https://taotoken.net/api/models'

如果你没在临时 Pod 里注入 Secret，可以手动传：

kubectl run curl-test --rm -it --image=curlimages/curl --restart=Never -- \ sh -c 'curl -s -H "Authorization: Bearer sk-你的Key" \ https://taotoken.net/api/models'

返回 200 说明 Key 和通道都通。返回 401 就是 Key 问题，返回超时就是出网问题。

4.3 端到端：Ingress 后面的 AI 网关

真实场景里，/echo换成你的网关 Service，比如/v1指向一个内部转发服务，该服务读取 Secret 里的 Key 再转发到 TaoToken。这样集群外只暴露 Ingress，Key 不出集群。

paths: - path: /v1 pathType: Prefix backend: service: name: ai-gateway-svc port: number: 8080

验证方式一样：curl -H "Host: ai-gateway.local" http://节点IP:30080/v1/models。

5. 本篇常见错排查

502 Bad Gateway：Ingress 找不到后端。先kubectl get endpoints echo-svc，如果 ENDPOINTS 是空的，说明 Service selector 和 Pod labels 不匹配。检查app: echo是否两边一致。

404 Not Found：路径没匹配上。pathType: Prefix配/echo时，请求/echo和/echo/xxx都能中，但/echoabc不行。如果你用了rewrite-target: /，注意它会把匹配到的前缀替换掉，容易和后端路由冲突。调试时先去掉 rewrite 看原始路径。

401 Unauthorized：Key 没生效。先确认 Secret 里的 Key 没有多余空格或换行，kubectl get secret taotoken-secret -o jsonpath='{.data.TAOTOKEN_API_KEY}' | base64 -d看一眼。再确认 Pod 里env | grep TAOTOKEN有值。

请求超时：AI 流式响应被 Ingress 默认超时切断。加上nginx.ingress.kubernetes.io/proxy-read-timeout: "300"和proxy-send-timeout。如果还断，检查后端 Service 的sessionAffinity，流式场景有时需要会话保持。

DNS 解析失败：Pod 里访问taotoken.net报Could not resolve host。检查 CoreDNS 是否正常，kubectl run -it --rm debug --image=busybox -- nslookup taotoken.net。如果是私有集群，确认出站 DNS 策略。

Ingress 规则不生效：kubectl describe ingress ai-gateway-ing看 Events。常见是ingressClassName写错，或者 Controller 没监听这个 class。用kubectl get ingressclass确认名字。

Key 轮换后旧 Pod 还在用旧 Key：Secret 更新不会自动重启 Pod。kubectl rollout restart deployment/ai-agent触发滚动更新。如果你用 ConfigMap 挂载文件，注意更新有延迟，envFrom 方式更直接。

6. 把 Key 收口到一处，Ingress 只管路由

Ingress 七层负载解决的是「流量怎么进来」，TaoToken 统一 Key 解决的是「进来之后怎么调模型」。两者职责分开，集群才好维护。你现在可以做的动作：把上面 Secret 里的 Key 换成你自己的，kubectl apply一遍，然后用 curl 验证/echo和/api/models两条链路。跑通之后，把 AI 工具的 settings.json 或 config.toml 里的 base_url 统一改成https://taotoken.net/api，Key 从 Secret 注入，以后轮换只动一个地方。

接入文档在 https://taotoken.net/doc ，API Keys 管理在 https://taotoken.net/api-keys ，模型列表在 https://taotoken.net/models 。如果你要长期在集群里跑编码 Agent，Coding Plan 页面 https://taotoken.net/coding-plan 有对应的通道说明。先把 Secret 和 Ingress 这两块 YAML 存进你的 GitOps 仓库，下次加新工具时，复制 settings.json 骨架改个模型名就行。