ConfigMap和Secret注入环境变量时，必须确保key命名合法（仅字母、数字、下划线且开头非数字）、严格同namespace、Secret同名key无条件覆盖ConfigMap。
直接用 ConfigMap 和 Secret 注入环境变量，别硬编码；但必须注意 key 命名、namespace 作用域、Secret 覆盖优先级这三点，否则应用启动就 panic 或连错数据库。
ConfigMap 的 key 必须是合法环境变量名
ConfigMap 中的 key 如果含短横线（-）、点号（.）或以数字开头，Kubernetes 会静默跳过该字段，envFrom 不报错也不加载。Go 应用里调用 os.Getenv("DB_HOST") 得到空字符串，后续 sql.Open() 直接失败。
实操建议：
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 所有 ConfigMap key 只用字母、数字、下划线，且必须以字母或下划线开头（如
DB_HOST、LOG_LEVEL，不能写db-host或1st_db_url） - 用
kubectl create configmap my-cm --from-literal=APP_ENV=prod创建时，Kubernetes 会自动校验并拒绝非法 key - 若从文件生成（
--from-file=app.conf），需先确保文件内每行是KEY=VALUE格式，且 KEY 符合命名规范
Secret 的值一定覆盖同名 ConfigMap 的值
当同时用 envFrom 引入 ConfigMap 和 Secret，且两者存在相同 key（比如都定义了 DB_PASSWORD），Secret 的值无条件覆盖 ConfigMap 的——这是 Kubernetes 固定行为，不是 bug，也无日志提示。
立即学习“go语言免费学习笔记（深入）”；
实操建议：
- 生产环境只通过 Secret 注入敏感字段（
MYSQL_PASSWORD、JWT_SECRET），ConfigMap 仅放非敏感配置（APP_ENV、TIMEOUT_MS） - 避免在两个来源中重复定义同一 key；若必须共存，明确约定“Secret 为权威源”，并在 Go 代码中加注释说明
- 调试时用
kubectl exec -it <pod> -- env | grep DB_确认最终生效的值，而不是只查 ConfigMap 内容
Go 读环境变量必须带默认值和类型转换
os.Getenv("PORT") 返回的是 string，但若 ConfigMap 尚未创建、key 拼错、或 namespace 不匹配，它返回空字符串而非 panic。后续 http.ListenAndServe(":"+port, nil) 会监听 ":"，导致启动失败且错误不明显。
实操建议：
- 永远用带默认值的封装：例如
port := getEnv("PORT", "8080")，其中getEnv内部检查空值并 fallback - 数值型变量必须显式转换：
timeoutMs, _ := strconv.Atoi(getEnv("TIMEOUT_MS", "5000"))，不要依赖字符串拼接 - 敏感字段缺失时快速失败：
if dbPass := getEnv("DB_PASSWORD", ""); dbPass == "" { log.Fatal("missing DB_PASSWORD in environment") }
namespace 不一致会导致 ConfigMap/Secret 查不到
Deployment 和它引用的 ConfigMap/Secret 必须在同一个 namespace 下。如果 Deployment 在 prod，而 ConfigMap 创建在 default，envFrom 会静默失败，Pod 启动后所有对应环境变量为空。
实操建议：
- 创建资源时显式指定 namespace：
kubectl -n prod create configmap app-config --from-literal=API_URL=https://api.prod - 在 Deployment YAML 中，
envFrom.configMapRef.name和envFrom.secretRef.name不支持跨 namespace 引用；如需共享，用projectedvolumes 或复制 ConfigMap 到各 namespace - 本地调试时，用
kubectl config set-context --current --namespace=prod避免默认打到default
最易被忽略的是：ConfigMap 和 Secret 的 key 命名看似小事，但一旦不合法，Kubernetes 不报错也不警告，Go 应用就拿不到值——这种问题往往要花半小时翻日志、查文档、对比 YAML 缩进才能定位。
