根本原因是默认镜像不带SSH支持且ssh-known-hosts workspace未显式挂载；实操需用v0.5+ git-clone、创建SSH密钥Secret、挂载ssh-directory与known_hosts，并配置GOPROXY、统一workspace名、分步buildah、go test加failfast/覆盖率断言、kubectl镜像与集群版本对齐。
为什么 Tekton 的 git-clone Task 经常拉不到私有仓库代码
根本原因不是权限配置错，而是默认镜像不带 SSH 支持，且 git-clone Task 的 ssh-known-hosts workspace 没被显式挂载。公开仓库能过是因为走 HTTPS + Basic Auth，但私有 Git（尤其 Gitee/GitLab 自建）普遍要求 SSH。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 用
tektoncd/catalogv0.5+ 的git-clone，它支持ssh-directory参数和known_hosts挂载 - 创建 Secret 存储 SSH 私钥：
kubectl create secret generic git-ssh-key --from-file=ssh-privatekey=~/.ssh/id_rsa - 在 TaskRun 中声明 workspace：
workspaces: - name: ssh-directory secret: secretName: git-ssh-key - 别漏掉
known_hosts：Tekton 不自动注入，得手动写入或用 initContainer 预填充
buildah 构建 Golang 镜像时为何总卡在 go mod download
不是网络问题，是 buildah 默认容器没配 GOPROXY，且 buildah Task 的 workingDir 和 context-dir 映射错位，导致 go.mod 文件不在工作路径下。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 在 Task 的
steps中显式设置环境变量：- name: set-proxy env: - name: GOPROXY value: "https://goproxy.cn,direct" - 确保
git-clone的 output workspace 被正确传给buildah：Task 中workspaces名称必须一致（如都叫source） - buildah 命令里加
--storage-driver=vfs：K3s 默认无 overlayfs 支持，vfs 更稳 - 避免用
buildah bud直接构建：改用buildah from+buildah run分步，便于调试每层缓存
如何让 go test 在 Tekton Pipeline 中真正生效而不只是“跑一下”
很多团队把 go test -v ./... 写进 Task 就以为覆盖了测试，但实际没设失败阈值、没捕获覆盖率、也没和门禁联动——等于白跑。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 加
-failfast和-timeout 60s：防止单个死循环测试拖垮整个 PipelineRun - 输出覆盖率到文件：
go test -coverprofile=coverage.out ./...，再用go tool cover -func=coverage.out提取结果 - 用
script字段做断言：if [ $(go tool cover -func=coverage.out | tail -1 | awk '{print $2}' | sed 's/%//') -lt 70 ]; then exit 1; fi - 别把测试和构建混在一个 Step：独立成 Task，方便在 Pipeline 中插在
git-clone后、buildah前，形成质量门禁
部署阶段用 kubectl-deploy 报错 error: the server doesn't have a resource of type deployment
这不是 kubectl 版本问题，而是 kubectl-deploy Task 默认用的镜像是 lachlanevenson/k8s-kubectl:v1.21.0，而你的集群已是 v1.26+，API group（如 apps/v1）变更后旧镜像不识别新资源类型。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 换镜像：
image: registry.k8s.io/kubectl:v1.26.15或更高，必须和集群 server 版本对齐 ±1 minor - 确认 ServiceAccount 有足够 RBAC：至少要
deployments.apps的create/patch权限，别只给cluster-admin - 用
params传 manifest 路径，别硬编码 YAML：Task 中写- name: MANIFEST_PATH value: "$(workspaces.source.path)/k8s/deployment.yaml" - 加
--dry-run=client -o yaml预检：先验证语法再 apply，避免 PipelineRun 因 YAML 错误直接失败
真正难的不是写对每个 Task，而是让它们之间传递的 workspace 路径、参数名、镜像版本、RBAC 权限全部对齐——差一个字母，PipelineRun 就卡在 Pending 或 CrashLoopBackOff，还查不出日志。建议第一次跑通前，先用 tkn taskrun logs 逐个验证每个 TaskRun 的 stdout 和 exit code。
