长连接服务在Kubernetes中需监听0.0.0.0、端口严格匹配containerPort，就绪探针须真实验证连接池与TLS握手，滚动更新需优雅终止并设terminationGracePeriodSeconds≥60，客户端必须实现指数退避重连。
长连接服务（如 WebSocket、gRPC streaming、MQTT broker）在 Kubernetes 中极易因探针误杀、连接中断、滚动更新丢连接而“看似运行实则不可用”。核心矛盾不是“能不能跑”，而是“连接能不能持续、断连后能不能自动恢复、更新时会不会批量掉线”。
监听地址必须是 0.0.0.0，且端口需与 containerPort 严格一致
Kubernetes 的 Service 和 kube-proxy 不会转发到 127.0.0.1 —— 它只认 Pod IP。哪怕你的 WebSocket server 启动日志显示 “listening on 127.0.0.1:8080”，外部连接也必然超时。
- Go 代码中必须用
http.ListenAndServe(":8080", handler)或显式构造net.Listen("tcp", ":8080")，不能写死"127.0.0.1:8080" -
containerPort字段（Deployment YAML 中）必须和 Go 监听端口完全相同；若监听:9000，但 YAML 写containerPort: 8080，Service 流量根本进不来 - 推荐从环境变量读取端口：
port := os.Getenv("PORT"); http.ListenAndServe(":"+port, handler)，再在 Deployment 中通过env注入PORT: "9000"
readinessProbe 不能只返回 200，要真实检查连接池或 accept 队列
HTTP 探针返回 200 ≠ 长连接服务就绪。它可能已启动 HTTP server，但底层 TCP accept 队列满、TLS handshake 卡住、或连接池未初始化完成 —— 此时新连接会直接被拒绝。
- 就绪探针路径（如
/readyz）应执行轻量级验证：net.DialTimeout("tcp", "localhost:9000", 500*time.Millisecond)+ TLS 握手模拟（若启用 TLS） - 避免在
/readyz中做 DB ping 或远程 gRPC 调用 —— 这会让就绪状态受下游拖累，导致服务“假不就绪” -
initialDelaySeconds: 10是底线；长连接服务冷启动常需加载证书、建立上游连接、预热连接池，failureThreshold建议设为5避免短暂抖动触发驱逐
滚动更新时必须支持优雅终止，并禁用 preStop 中的强制 kill
Kubernetes 默认发 SIGTERM 后等待 30 秒（terminationGracePeriodSeconds），超时则 SIGKILL。长连接服务若没处理信号，正在传输的帧、未确认的 MQTT QoS1 包、gRPC stream header 全部丢失。
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
立即学习“go语言免费学习笔记（深入）”；
- Go 主程序必须监听
syscall.SIGTERM和os.Interrupt，调用srv.Shutdown(ctx)，并在Shutdown返回后再关闭 listener 和连接池 - 不要在
preStop生命周期钩子里执行kill -9或sleep 30 && kill -9—— 这绕过 Go 的优雅关闭逻辑，等同于直接拔网线 -
terminationGracePeriodSeconds应设为 ≥ 60：给长连接足够时间完成 FIN-WAIT-2、ACK 所有 pending 数据、通知客户端重连 - 客户端必须实现重连退避（exponential backoff），服务端不能假设“连接永不断”
Dockerfile 必须静态编译，且基础镜像不能带 shell
长连接服务对稳定性极度敏感。任何因镜像问题导致的启动失败（比如 musl/glibc 混用、动态库缺失），都会让 Pod 卡在 CrashLoopBackOff，而连接请求早已被 Service 转发过来 —— 看似健康，实则 0 可用连接。
- 构建阶段加
CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w -buildmode=pie"，确保二进制无外部依赖 - 运行镜像必须用
FROM scratch或gcr.io/distroless/static-debian12；alpine虽小，但自带sh和包管理器，攻击面更大，且某些 TLS 根证书行为与 distroless 不一致 - 禁止使用
golang:alpine直接运行 —— 它含go命令、apk、gcc，体积大、启动慢、易被利用提权
最容易被忽略的是：长连接服务的健康边界不在进程存活，而在连接上下文是否可延续。哪怕所有探针都绿，只要新连接无法完成 TLS 握手、或旧连接在更新中静默断开且无重连机制，服务就算部署失败。
