Go服务真正的自愈依赖外部守护（如systemd/kubelet）+内部状态解耦+Kubernetes健康探针协同，而非recover或os.Exit(1)自重启；因进程退出后资源全销毁，自拉起不可靠，且K8s仅按restartPolicy新建Pod，需配好探针与systemd关键参数。
panic 捕获不能替代进程管理，Go 服务真正的自愈依赖外部守护 + 内部状态解耦 + Kubernetes 健康探针协同，不是靠 recover 或 os.Exit(1) 自己重启自己。
为什么 Go 程序不能自己“重启自己”
Go 进程退出后，内存、文件描述符、goroutine 栈全部销毁，exec.Command("go", "run", ...) 这类自拉起逻辑在生产环境极不可靠：信号丢失、子进程孤儿化、日志错乱、资源泄漏。Kubernetes 也不会因为你的 os.Exit(1) 就“恢复服务”，它只按 restartPolicy 创建新 Pod —— 如果你没配好探针，新 Pod 可能立刻进入 CrashLoopBackOff 状态。
-
recover只对当前 goroutine 有效，无法恢复已关闭的 HTTP server 或阻塞的 channel - 主 goroutine 中
panic后未recover→ 进程退出 → 交给 systemd 或 kubelet 处理，不是 Go 自己做的事 - 用
for { time.Sleep(); os.StartProcess() }实现重启，会绕过 cgroup 限制、逃逸监控、干扰 SIGTERM 优雅终止
systemd 配置必须包含这四个关键项
Linux 生产环境唯一靠谱的进程兜底方案是 systemd，但默认配置极易踩坑。以下四项缺一不可：
-
Restart=on-failure：仅当 exit code ≠ 0 时重启（避免正常 shutdown 被反复拉起） -
RestartSec=5：失败后等 5 秒再试，防止夯住 CPU -
StartLimitIntervalSec=60和StartLimitBurst=3：1 分钟内最多启动 3 次，超限则标记为inactive (failed)，人工介入 -
KillMode=control-group：确保所有子进程（如日志转发、exec 调用的 shell）随主进程一并清理
漏掉 StandardOutput=journal 和 StandardError=journal，崩溃日志就进黑洞，排查无从下手。
/healthz 和 /readyz 必须物理隔离且逻辑分层
把健康检查写成一个混杂 DB、Redis、下游 gRPC 的 /health 接口，等于把 liveness 和 readiness 绑死，Kubernetes 无法差异化调度。正确做法是两个端点彻底分离：
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
立即学习“go语言免费学习笔记（深入）”；
-
/healthz：只检查本地 HTTP listener 是否可 accept、关键 channel 是否未阻塞、goroutine 数是否异常飙升；响应必须 ≤ 100ms，不查任何外部依赖 -
/readyz：同步检查db.PingContext(ctx, 2*time.Second)、redisClient.Ping(ctx).Err()、下游http.Get健康端点；任一失败返回503 Service Unavailable - 两个端点用独立
http.ServeMux，防止业务 handler panic 导致探针失效
goroutine 级自愈要防“静默降级”而非“强行续命”
给每个 worker goroutine 加 defer recover 是基础操作，但容易陷入“不断重启却无日志、无告警、无状态重置”的假稳定陷阱：
- 不要在
recover后直接go runWorker()递归启动 —— 缺少退避和失败计数，可能瞬间打满 CPU - 推荐用
tideland/goas/loop或自写带计数器的循环：maxRestarts=5、restartDelay=2*time.Second、失败超阈值后主动os.Exit(1)交由 systemd 处理 - 每次 panic 必须记录 structured log（含 goroutine ID、panic value、堆栈），否则无法区分是偶发越界还是持续性连接泄漏
真正难的是让服务在部分依赖失效时仍能降级响应——比如 DB 不可用时切到本地缓存或返回 stale 数据，而不是等 recover 抓住 panic 再重启。自愈的终点不是“进程活着”，而是“流量还能走”。
