SpinKube 实战：在 Kubernetes 上运行 WebAssembly Serverless 工作负载

痛点

容器虽然解决了环境一致性问题，但在边缘计算、Serverless 函数等场景下暴露了明显短板：

冷启动慢 — 一个最小化 Go/Python 容器也要 200ms+ 启动时间，对延迟敏感的 API 场景不可接受
资源开销大 — 每个 Pod 至少需要 ~20MB 内存 overhead，千级函数规模成本吃紧
安全边界粗 — 容器共享内核，逃逸漏洞频出（CVE-2024-21626 等）

WebAssembly（Wasm）提供了一条新路径：微秒级冷启动、MB 级内存占用、沙箱隔离比容器更强。但问题是——如何把 Wasm 工作负载无缝集成到现有 Kubernetes 集群？

SpinKube 正是解决这个问题的云原生项目。

方案

SpinKube 是 CNCF 旗下的开源项目，它将 Fermyon Spin 框架与 Kubernetes 深度集成，让你用标准的 kubectl 和 CRD 管理 Wasm 工作负载。核心架构：

┌─────────────────────────────────────────────┐
│  Kubernetes Cluster                         │
│                                             │
│  ┌─────────────┐    ┌───────────────────┐   │
│  │ SpinApp CRD │───▶│ Spin Operator     │   │
│  └─────────────┘    └───────┬───────────┘   │
│                             │               │
│                    ┌────────▼────────┐      │
│                    │ containerd-shim │      │
│                    │ (spin/wasmtime) │      │
│                    └────────┬────────┘      │
│                             │               │
│                    ┌────────▼────────┐      │
│                    │  Wasm Module    │      │
│                    │  (.wasm binary) │      │
│                    └─────────────────┘      │
└─────────────────────────────────────────────┘

关键组件：

组件	作用
Spin Operator	Kubernetes controller，监听 SpinApp CRD 并调度 Wasm 工作负载
containerd-shim-spin	containerd 的 Wasm shim，替代 runc 直接运行 .wasm 二进制
SpinApp CRD	声明式定义 Wasm 应用，包含 OCI 镜像引用、副本数、资源限制
Runtime Class	告诉 kubelet 用 Wasm shim 而非默认容器 runtime

实操步骤

第 1 步：安装 SpinKube 到现有集群

前置条件：Kubernetes ≥ 1.28，containerd ≥ 1.7，Helm 3。

# 安装 cert-manager（Spin Operator 依赖）
kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.16.0/cert-manager.yaml
kubectl wait --for=condition=Ready pods -n cert-manager --all --timeout=120s

# 安装 containerd-shim-spin（通过 RuntimeClass Installer）
helm install shim-spin \
  oci://ghcr.io/spinkube/charts/containerd-shim-spin \
  --version 0.18.0 \
  --namespace spinkube --create-namespace

# 安装 Spin Operator
helm install spin-operator \
  oci://ghcr.io/spinkube/charts/spin-operator \
  --version 0.5.0 \
  --namespace spinkube

# 验证安装
kubectl get runtimeclass
# 应看到 wasmtime-spin-v2 RuntimeClass

第 2 步：编写 Spin 应用并打包 OCI 镜像

# 安装 Spin CLI
curl -fsSL https://developer.fermyon.com/downloads/install.sh | bash
sudo mv spin /usr/local/bin/

# 创建一个 HTTP 触发的 Rust 应用（也支持 Go/Python/JS/TS）
spin new -t http-rust spinkube-demo
cd spinkube-demo

编辑 src/lib.rs：

use spin_sdk::http::{IntoResponse, Request, Response};
use spin_sdk::http_component;

#[http_component]
fn handle_request(_req: Request) -> anyhow::Result<impl IntoResponse> {
    Ok(Response::builder()
        .status(200)
        .header("content-type", "application/json")
        .body(r#"{"status":"ok","runtime":"wasm","cold_start":"<1ms"}"#)
        .build())
}

构建并推送 OCI 镜像：

spin build
spin registry push ghcr.io/your-org/spinkube-demo:v1.0.0

第 3 步：部署 SpinApp 到 Kubernetes

创建 spinapp.yaml：

apiVersion: core.spinoperator.dev/v1alpha1
kind: SpinApp
metadata:
  name: spinkube-demo
  namespace: default
spec:
  image: "ghcr.io/your-org/spinkube-demo:v1.0.0"
  replicas: 3
  executor: containerd-shim-spin
  resources:
    limits:
      cpu: "100m"
      memory: "32Mi"    # Wasm 应用内存极小
    requests:
      cpu: "10m"
      memory: "16Mi"
  enableAutoscaling: true
  targetCPUUtilizationPercentage: 60

kubectl apply -f spinapp.yaml

# 检查状态
kubectl get spinapp
kubectl get pods -l core.spinoperator.dev/app-name=spinkube-demo

# 创建 Service 暴露应用
kubectl expose spinapp spinkube-demo --port=80 --target-port=80 --type=ClusterIP

第 4 步：性能对比验证

# 安装 hey 进行压测
# Wasm 应用 vs 同等功能的 Go 容器
hey -n 10000 -c 100 http://spinkube-demo.default.svc.cluster.local/

# 对比关键指标
# Wasm (SpinKube):  P99 < 5ms, 内存 ~16MB/pod, 冷启动 < 1ms
# Container (Go):   P99 ~ 15ms, 内存 ~50MB/pod, 冷启动 ~300ms

避坑

1. Node 节点 shim 未生效

现象：Pod 一直 ContainerCreating，Events 报 RuntimeClass "wasmtime-spin-v2" not found。

原因：containerd-shim-spin DaemonSet 未在目标节点运行。

解决：

# 检查 DaemonSet 状态
kubectl -n spinkube get ds
# 确认节点 label 匹配
kubectl get nodes --show-labels | grep spinkube
# 如果用了 nodeSelector，需要手动加标签
kubectl label node <node-name> spinkube.dev/enabled=true

2. OCI 镜像拉取失败

现象：ErrImagePull，但 docker pull 同一镜像正常。

原因：Spin OCI Artifact 格式与 Docker 镜像不同，需要用 spin registry push 推送，不能用 docker push。

解决：

# 确保用 spin CLI 推送
spin registry push ghcr.io/your-org/app:tag
# 如果用私有 Registry，配置 imagePullSecrets
kubectl create secret docker-registry spin-registry \
  --docker-server=ghcr.io \
  --docker-username=xxx \
  --docker-password=xxx

3. Wasm 应用无法访问外部网络

现象：应用内发起 HTTP 请求超时或被拒绝。

原因：Wasm 沙箱默认不允许出站网络访问，需要在 spin.toml 中显式声明 allowed_outbound_hosts。

解决：

# spin.toml
[component.my-app]
allowed_outbound_hosts = ["https://api.example.com", "redis://redis.default.svc:6379"]

总结

维度	传统容器	SpinKube (Wasm)
冷启动	200ms–2s	< 1ms
单实例内存	50–200MB	10–32MB
安全隔离	共享内核	沙箱级别（无 syscall）
生态成熟度	生产就绪	快速成熟中（CNCF Sandbox）
适用场景	通用服务	Serverless/边缘/高密度函数

选型建议：

适合 SpinKube — API Gateway 层轻量函数、边缘节点计算、事件驱动处理、高密度 Serverless
暂不适合 — 需要大量系统调用的应用（如数据库）、依赖 C 库生态的遗留代码、GPU 计算

SpinKube 目前处于 CNCF Sandbox 阶段，API 仍在演进，但核心功能已经稳定可用。如果你的场景是高密度、低延迟、安全敏感的函数级计算，现在就值得在非关键集群开始试点。结合 Kubernetes Gateway API 做流量切分，可以实现容器与 Wasm 工作负载的平滑共存。