fix: immediate fixes from Opus review (v0.1.22)

- trigger: CronJob moved to deployNS (sless-fn-{userNS}), was tr.Namespace
  Reason: with NetworkPolicy default-deny, pod in user-ns can't reach
  Service in sless-fn-ns. Co-locating CronJob with Service guarantees
  connectivity regardless of NetworkPolicy configuration.
  handleTriggerDeletion updated consistently.

- trigger: pin curlimages/curl to 8.5.0 (was :latest)
  Reason: reproducibility, no unexpected behavior changes from image updates.

- function: sort env vars in buildDeployment (was non-deterministic map range)
  Reason: non-deterministic order caused k8s to detect container spec 'change'
  on every reconcile → unnecessary pod restarts. Sorted order is stable.

- function: cleanup kaniko Job in handleDeletion
  Reason: if Function deleted during Building phase, kaniko Job continued
  running, wasting CPU/memory and pushing an unused image.

- invoke: filter hop-by-hop headers in proxy response (RFC 2616 §13.5.1)
  Reason: Transfer-Encoding especially dangerous — forwarding it corrupts
  response body framing for the client.

- config: SLESS_API_TOKEN no longer required
  Reason: dead code — field loaded but never passed to any component.
  Auth uses validateJWT() middleware, not static token.

Namespace lifecycle: user namespaces preserved on destroy (not changed).
E2E: apply 4 resources + destroy clean. Operator v0.1.22 deployed.

controllers/function_controller.go

@@ -9,6 +9,7 @@ package controllers
 import (
 	"context"
 	"fmt"
+	"sort"
 	"time"
 
 	appsv1 "k8s.io/api/apps/v1"
@@ -221,8 +222,7 @@ func (r *FunctionReconciler) ensureDeployment(ctx context.Context, fn *slessv1al
 	}
 	return ctrl.Result{}, nil
 }
-
-// buildDeployment формирует Deployment манифест для функции.
+	// Изменено: 2026-03-11// buildDeployment формирует Deployment манифест для функции.
 func (r *FunctionReconciler) buildDeployment(fn *slessv1alpha1.Function, namespace string) *appsv1.Deployment {
 	replicas := int32(1)
 	envVars := []corev1.EnvVar{
@@ -230,8 +230,16 @@ func (r *FunctionReconciler) buildDeployment(fn *slessv1alpha1.Function, namespa
 		// Формат: "module-name.funcName" (например: handler-http.handle)
 		{Name: "SLESS_ENTRYPOINT", Value: fn.Spec.Entrypoint},
 	}
-	for k, v := range fn.Spec.Env {
-		envVars = append(envVars, corev1.EnvVar{Name: k, Value: v})
+	// Сортируем ключи env vars для стабильного порядка в Pod spec.
+	// map range в Go — недетерминирован: разный порядок при каждом вызове.
+	// Нестабильный порядок → k8s видит изменение контейнера → лишние rollout'ы.
+	keys := make([]string, 0, len(fn.Spec.Env))
+	for k := range fn.Spec.Env {
+		keys = append(keys, k)
+	}
+	sort.Strings(keys)
+	for _, k := range keys {
+		envVars = append(envVars, corev1.EnvVar{Name: k, Value: fn.Spec.Env[k]})
 	}
 
 	return &appsv1.Deployment{
@@ -304,6 +312,7 @@ func (r *FunctionReconciler) ensureRegistrySecret(ctx context.Context, targetNS
 }
 
 // handleDeletion обрабатывает удаление Function: удаляет Deployment, Service, Ingress и убирает finalizer.
+// ВАЖНО: Namespace sless-fn-{userNS} НЕ удаляется — он принадлежит пользователю на всё время его существования.
 func (r *FunctionReconciler) handleDeletion(ctx context.Context, fn *slessv1alpha1.Function) (ctrl.Result, error) {
 	deployNS := "sless-fn-" + fn.Namespace
 	dep := &appsv1.Deployment{}
@@ -311,6 +320,12 @@ func (r *FunctionReconciler) handleDeletion(ctx context.Context, fn *slessv1alph
 		_ = r.Delete(ctx, dep)
 	}
 
+	// Если функция удалена в процессе сборки — убиваем kaniko Job.
+	// Без этого Job продолжит работу, займёт CPU/память и запушит образ которым никто не воспользуется.
+	if jobName := fn.Annotations["sless.kube5s.ru/build-job"]; jobName != "" {
+		_ = r.Builder.Cleanup(ctx, jobName)
+	}
+
 	// Удаляем Service и Ingress — созданы HTTP триггером, но именованы по функции.
 	// Если function_controller не удалит их, Ingress остаётся после destroy → 502.
 	svc := &corev1.Service{}