Harbor镜像仓库地址必须为HTTPS协议且可被集群节点访问，自签名证书需注入各节点CA信任链；Docker pull失败主因是网络不可达、证书不信任或项目权限配置错误。
Harbor 镜像仓库地址必须带协议且可被服务网络访问
微服务部署时 docker pull 失败，十有八九是容器运行时根本连不上 Harbor。Golang 服务本身不直接拉镜像，但它的 Pod 或构建环境依赖这个地址——所以先确认 https://harbor.example.com 能被集群内所有节点（包括 CI 构建机、K8s worker node）用 curl -I 访问到。HTTP 不行，必须 HTTPS；自签名证书得提前注入到各节点的 CA 信任链，否则 x509: certificate signed by unknown authority 错误会卡死构建或启动。
- 检查 Harbor 是否启用了 HTTPS（
harbor.yml中hostname和https配置段必须完整） - K8s 集群若用
kubeadm初始化，需手动将 Harbor CA 证书追加到每个节点的/etc/ssl/certs/ca-bundle.crt或对应路径 - CI 流水线（如 GitHub Actions runner、GitLab Runner）也要挂载或注入相同 CA 证书
Go 微服务 Dockerfile 必须显式指定 Harbor 私有 Registry 登录凭据
构建阶段用 docker build 推送镜像到 Harbor，不是靠 ~/.docker/config.json 自动生效——CI 环境通常无用户态配置。正确做法是在构建命令中传入 --build-arg 注入凭证，或使用 docker login + docker push 显式登录。
- 推荐在 CI 脚本中执行：
echo "$HARBOR_PASSWORD" | docker login $HARBOR_URL -u "$HARBOR_USER" --password-stdin - Dockerfile 中避免硬编码用户名密码；若需多阶段构建拉取基础镜像（如
FROM harbor.example.com/library/golang:1.21），必须在docker build命令后加--secret id=harbor_auth,src=.dockerconfigjson并配合RUN --mount=type=secret - 注意：Go 项目本身不需要在代码里写 Harbor 地址，但 Makefile 或 CI YAML 中的
docker tag和docker push命令，目标 registry 必须是完整域名+端口（如harbor.example.com:443）
K8s Deployment 的 image 字段要匹配 Harbor 项目权限与命名空间
Pod 启动报错 Failed to pull image "harbor.example.com/project/go-service:v1.2.3": rpc error: code = Unknown desc = failed to resolve reference，常见原因是镜像路径拼写错误或项目未授权。
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- Harbor 项目（Project）必须设为 public，或 ServiceAccount 绑定的 Secret 已正确关联到 Pod 的
imagePullSecrets - 镜像名格式必须严格为：
harbor.example.com/<project-name>/<repo-name>:<tag></tag></repo-name></project-name>，其中<project-name></project-name>是 Harbor Web UI 里创建的项目名（区分大小写），不是 URL 路径前缀 - 若用 Helm 部署，
values.yaml中的image.repository应填harbor.example.com/myproj/go-service，而非myproj/go-service
Golang 构建产物镜像应使用 distroless 基础镜像并关闭不必要的元数据暴露
Harbor 作为企业制品库，常启用漏洞扫描和策略校验。Go 编译出的静态二进制虽轻量，但若用 golang:alpine 或 ubuntu 作 base image，会引入大量非必要包，触发 Harbor 的 CIS 扫描告警甚至阻断推送。
立即学习“go语言免费学习笔记（深入）”；
- 优先用
gcr.io/distroless/static:nonroot或scratch，只 COPY 编译好的二进制，不带 shell、包管理器、动态链接库 - Harbor 项目级设置中，开启「阻止高危漏洞镜像推送」后，含已知 CVE 的基础镜像会被拒绝——distroless 几乎无 CVE，能绕过这类拦截
- 构建时加
-ldflags="-s -w"去除调试符号，减小镜像体积，也降低 Harbor 扫描耗时
Harbor 的权限模型和镜像命名规则比公开仓库更严格，很多问题不是 Go 代码导致的，而是镜像地址、项目权限、CA 信任链这些基础设施层没对齐。调不通时，先 docker login 手动试推拉，再查 Harbor UI 的项目设置和审计日志，比翻 Go 代码快得多。
