K8s 容器只读根文件系统加固后 Java 服务崩溃，如何保留可写目录又不放权？

【背景】 我在给一套 K8s（1.28.9，containerd 1.7.x）里的 Java 8 业务镜像做安全加固，目标是"零业务代码改动 + 非 root 运行 + 只读根文件系统"。securityContext 配了 runAsNonRoot=true、runAsUser=1000、readOnlyRootFilesystem=true、allowPrivilegeEscalation=false、capabilities.drop=[ALL]。

【现象】 镜像起进程后约 2 秒即崩溃，容器日志（kubectl logs）反复打印：

• java.io.IOException: Could not create temporary directory /tmp/hsperfdata_1000
• 以及若干 /var/tmp、/home/1000 下的 "Read-only file system" 进程退出码 1，Pod 进入 CrashLoopBackOff。

【已尝试的排查与结果】

1. 把 readOnlyRootFilesystem 临时改回 false —— 服务正常，确认问题就出在只读根文件系统，而非非 root 或 capabilities；
2. 用 kubectl exec 进容器执行 ls -ld /tmp /var/tmp /home/1000，三者都是 root:root drwxr-xr-x，且 /home 根本不存在；
3. 在 Pod spec 里加了 emptyDir 挂载到 /tmp 和 /var/tmp —— hsperfdata 错误消失，但又冒出 /home/1000 下写日志的报错，说明应用还往 home 目录写文件。

【期望得到的答案形态】 请给一份可复现的做法：

• 如何在不改业务代码的前提下，把这类"散落的可写目录"统一收敛为 emptyDir / 只留真正需要的几个挂载点；
• 如何判断哪些路径必须可写、哪些可以彻底只读（有没有系统化的排查手法，比如 strace / 临时挂载可写层观察写入路径）；
• 非 root 时 /home/1000 权限问题怎么一次性解决；
• 最后如何在加固基线里固化（例如 OPA/Kyverno 策略或安全基线检查项），避免"改回去就忘了"。 最好带具体 YAML 片段和验证命令。