用 oauth2-proxy 为 Kubernetes ServiceAccount 在 Forgejo 中建立身份

作者在其 Agent 平台中把每个编码 Agent 作为 Kubernetes Job 运行，需要向 Git 托管 Forgejo 认证。初版为每个 Agent 配置长期有效的 Personal Access Token，存在凭据生命周期长于任务、身份共享、可被其他 Job 挂载、易泄漏等问题。文章提出用 oauth2-proxy 为 ServiceAccount 赋予独立身份，但摘要未展示具体配置与验证结果。

AI推荐理由 文章描述了一个具体工程问题：为每个编码 Agent 的 Kubernetes Job 提供独立身份，替代长期有效的 Personal Access Token，并指出共享凭据的越权与审计缺陷。属于 Agent 平台身份与凭据治理的实践分享，对构建多 Agent 系统有参考价值；但正文片段未给出 oauth2-proxy 的具体配置、验证结果或安全评估，方案效果尚不可确认。