Go微服务上Kubernetes必须解决镜像崩溃、请求丢失、探针误判三大问题：CGO_ENABLED=0与GOOS=linux需显式设置以避免libc依赖报错；livenessProbe与readinessProbe须分离路径和超时；main函数须监听SIGTERM并调用http.Server.Shutdown()优雅终止。
Go 微服务上 Kubernetes，不是“能跑就行”，而是必须解决镜像崩溃、请求丢失、探针误判三大硬性问题。其他优化都建立在这三个底线之上。
CGO_ENABLED=0 必须在构建阶段显式设置
不加就报 standard_init_linux.go:228: exec user process caused: no such file or directory——这是 Alpine 或 distroless 镜像找不到 glibc 的典型错误。Alpine 用 musl libc，而默认 go build 启用 CGO 就会链接 glibc。
-
CGO_ENABLED=0强制静态编译，生成的二进制不依赖系统 libc，哪怕换 Ubuntu 基础镜像也建议关掉：镜像体积减少 30–50MB，避免 libc 升级引发兼容抖动 - 配合
GOOS=linux和-ldflags '-s -w'（剥离符号和调试信息），最终二进制更小、更安全 - 多阶段构建中，这一行必须写在 builder 阶段的
RUN里，不能只靠环境变量或 Docker 构建参数；例如：RUN CGO_ENABLED=0 GOOS=linux go build -ldflags '-s -w' -o /app/main . - 如果代码中调用了 cgo（如 sqlite、某些加密库、系统调用封装），则不能设为 0，需改用 glibc 基础镜像并显式安装依赖
livenessProbe 和 readinessProbe 必须分离路径与超时
Kubernetes 默认把两个探针指向同一个路径（比如 /healthz），但这是危险的。livenessProbe 失败会直接重启 Pod，readinessProbe 失败只是摘流量——它们语义完全不同。
-
livenessProbe应该只检查进程是否存活（例如/livez，只返回 HTTP 200，不做 DB 查询） -
readinessProbe才该检查真实就绪状态（例如/readyz，查 DB 连接、下游服务连通性） - 两者
timeoutSeconds建议设为不同值：liveness通常 1–3 秒，readiness可设 10 秒以上，避免滚动更新时因短暂依赖抖动误摘流量 - 共用一个端点，DB 暂时不可用会导致
liveness失败 → Pod 重启 → 更加重 DB 压力，形成雪崩
main 函数里必须监听 SIGTERM 并调用 http.Server.Shutdown()
不这么做，Kubernetes 发出 SIGTERM 后，Go 进程不会等正在处理的请求结束就退出，导致 5xx 或连接中断。这不是“优雅”问题，是线上故障根因。
在 Go 中使用 google/wire 实现编译时依赖注入——wire.NewSet、wire.Build、wire.Bind（接口→实现）、wire.Struct、wire.Value、wire.Interface
立即学习“go语言免费学习笔记（深入）”；
- 必须用
signal.Notify(quit, os.Interrupt, syscall.SIGTERM)捕获信号 -
http.Server.Shutdown()要传入context.WithTimeout，超时时间建议设为 10–30 秒，确保长连接或事务型请求有足够时间完成 - Shutdown 前应关闭 DB 连接池、取消后台 goroutine、释放文件句柄等依赖资源
- 不要在 Shutdown 后再调用
log.Fatal或 panic，否则可能掩盖未完成的清理逻辑
优先选 distroless/static 而非 alpine 作为基础镜像
alpine 虽小（~5MB），但它自带 musl libc 和 shell，存在攻击面；而 distroless/static 是真正零用户态工具的镜像，体积更小（~2MB）、无 shell、不可交互，符合最小权限原则。
- 用
distroless/static-debian12（或gcr.io/distroless/static）替代alpine:latest，前提是你的 Go 二进制已用CGO_ENABLED=0编译 -
distroless/static镜像无法docker exec进去，但可通过docker run --rm -it --entrypoint /bin/sh your-image临时覆盖入口点做诊断（前提是镜像含sh——distroless/static不含，需换用distroless/base-debian12） - 如果服务需解析 DNS 或处理 TLS，确保 Go 版本 ≥ 1.19（内置
net.Resolver和crypto/tls不依赖系统库）
最常被忽略的是：readinessProbe 里查 DB 连接，却没设 initialDelaySeconds，导致 Pod 启动瞬间就失败被反复重启；还有人把 Shutdown 放在 goroutine 里但没做错误处理，结果 panic 后整个进程静默退出。
