Go应用在Kubernetes中因节点污点未配容忍而Pending是最常见问题；需通过kubectl describe pod/node查Events和Taints，按key/effect/value三要素精准配置tolerations于PodSpec下，并警惕NoExecute驱逐风险。
Go 应用在 Kubernetes 上部署本身不特殊，但若目标节点打了污点（比如 GPU 节点、Master 节点、维护中节点），而你的 Deployment 没配对应容忍，Pod 就会卡在 Pending 状态——这是最常见也最容易被忽略的失败点。
查 Pod 卡住原因：先看 Events 和 Taints
当 Go 应用 Pod 一直不 Running，别急着改代码或镜像。先确认是不是被污点拦住了：
- 运行
kubectl describe pod <pod-name>，重点看Events区域，常见提示是：0/3 nodes are available: 3 node(s) had taint {key: value:effect}, that the pod didn't tolerate. - 运行
kubectl describe node <node-name>，搜Taints:行，比如看到nvidia.com/gpu=:NoSchedule或node-role.kubernetes.io/master:NoSchedule - 注意：有些系统级污点（如 Master 节点自带的）value 为空，容忍时必须用
operator: "Exists"，不能写value
给 Pod 加 tolerations：匹配节点污点三要素
容忍不是“加一个就行”，必须和节点污点的 key、effect 完全对得上；value 可选，但匹配逻辑取决于 operator：
- 如果节点污点是
gpu=true:NoSchedule，就用Equal+ 显式value：tolerations:<br>- key: "gpu"<br> operator: "Equal"<br> value: "true"<br> effect: "NoSchedule"
- 如果节点污点是
maintenance=ongoing:NoExecute，且你想让 Pod 在驱逐前多留 300 秒：- key: "maintenance"<br> operator: "Equal"<br> value: "ongoing"<br> effect: "NoExecute"<br> tolerationSeconds: 300
- 如果节点污点是
node-role.kubernetes.io/master:NoSchedule（value 为空），必须用Exists：- key: "node-role.kubernetes.io/master"<br> operator: "Exists"<br> effect: "NoSchedule"
Go 应用 YAML 示例：带容忍的 Deployment
Go 二进制镜像本身无特殊要求，但 YAML 中 tolerations 必须放在 spec.template.spec 下，不是顶层 spec：
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
apiVersion: apps/v1<br>kind: Deployment<br>metadata:<br> name: go-api<br>spec:<br> replicas: 2<br> selector:<br> matchLabels:<br> app: go-api<br> template:<br> metadata:<br> labels:<br> app: go-api<br> spec:<br> containers:<br> - name: app<br> image: registry.example.com/go-api:v1.2.0<br> ports:<br> - containerPort: 8080<br> # ⚠️ 注意：tolerations 在这里，属于 PodSpec<br> tolerations:<br> - key: "gpu"<br> operator: "Equal"<br> value: "true"<br> effect: "NoSchedule"
漏掉这层缩进，Kubernetes 会静默忽略 tolerations 字段，Pod 依旧 Pending。
污点配置要谨慎：NoExecute 的驱逐风险
给节点加 NoExecute 污点不是“加完就走”，它会立刻驱逐没配容忍的 Pod，包括你可能忘了更新的旧版本 Go 应用：
- 执行
kubectl taint nodes node-gpu dedicated=gpu:NoExecute后，所有未声明该容忍的 Pod 会在几秒内开始 Terminating - 如果你的 Go 应用没做优雅退出（比如没监听
SIGTERM、没关闭 HTTP server），请求可能被中断 - 临时测试可用
PreferNoSchedule先观察调度行为，确认容忍生效后再切到NoSchedule或NoExecute - 生产环境加
NoExecute前，务必检查集群中所有相关 Deployment、StatefulSet 是否已同步更新 tolerations
真正容易出问题的，从来不是“怎么加”，而是“加完谁会被踢下去”——尤其当多个团队共用集群时，一条 NoExecute 污点可能影响远超预期。
