用Deployment部署Go应用需确保selector与template标签一致、静态编译二进制、targetPort匹配监听端口；回滚依赖--record=true记录变更，否则历史不可追溯。
直接说结论：用 Deployment 部署 Go 应用，回滚靠 kubectl rollout undo，但前提是每次更新都带 --record=true 或手动打标签，否则历史版本不可追溯。
用 Deployment 部署 Go 应用的最小可行配置
Deployment 是 Kubernetes 中管理 Go 应用生命周期的核心对象，它负责副本维持、滚动更新和回滚。关键点不是“能不能跑”，而是“能不能安全地换版本”。
- 必须设置
spec.selector.matchLabels和spec.template.metadata.labels一致，否则更新会失败并报selector does not match template labels - Go 二进制建议静态编译（默认行为），避免 Alpine 镜像中缺失 glibc；若用
cgo_enabled=0，需确认没调用依赖系统库的包（如某些 DNS 解析逻辑） -
containerPort不影响实际端口绑定，但 Service 的targetPort必须与 Go 程序监听端口一致（比如http.ListenAndServe(":8080", nil)→targetPort: 8080）
滚动更新时必须加 --record=true 才能回滚
不加 --record=true，kubectl rollout history deployment/<name></name> 只能看到空记录或 “REVISION CHANGE-CAUSE” 为 <none>，此时 undo 无法定位上一版镜像。
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
- 正确方式：
kubectl set image deployment/go-app go-container=my-registry/go-app:v1.2 --record=true - 等价写法：修改 YAML 中
spec.template.spec.containers[0].image后执行kubectl apply -f deploy.yaml --record - 回滚命令：
kubectl rollout undo deployment/go-app（回退到上一版）或kubectl rollout undo deployment/go-app --to-revision=2（指定版本） - 验证回滚结果：
kubectl rollout status deployment/go-app等待完成，再kubectl get pods -l app=go-app -o wide确认镜像已切回
回滚失败的常见原因和绕过方法
回滚不是魔法，它本质是把 deployment.spec.template.spec.containers[].image 恢复成历史某次的值。如果那个镜像已被删或不可拉取，Pod 就会卡在 ImagePullBackOff。
- 镜像被删：私有 Registry 清理了 v1.1 镜像 → 回滚后所有 Pod 启动失败。解决办法是保留至少两个线上版本的镜像，或用 CI 流水线自动打
latest+vX.Y.Z+stable多标签 - Secret/ConfigMap 变更未同步：v1.2 版本依赖新 ConfigMap 字段，v1.1 并不兼容 → 回滚后程序启动报错。这不属于 Deployment 管理范围，需人工检查关联资源版本
- 想跳过 record 机制硬指定镜像？可以：
kubectl set image deployment/go-app go-container=my-registry/go-app:v1.1，但这不算“回滚”，只是另一次更新
Go 应用自身要支持优雅终止，否则回滚时请求丢失
滚动更新或回滚过程中，Kubernetes 会先发 SIGTERM 给旧 Pod，等待其退出后再删。如果 Go 程序没处理该信号，连接会被粗暴中断。
- 必须在
main()中监听syscall.SIGTERM和syscall.SIGINT - HTTP Server 要调用
server.Shutdown(ctx)，而非直接os.Exit() -
readinessProbe建议设短些（如initialDelaySeconds: 3），让新 Pod 快速进入就绪态；livenessProbe则不宜太激进，避免误杀正在关机的进程
真正容易被忽略的是：回滚只改镜像，不改环境变量、挂载卷、探针配置或资源限制。如果你在 v1.2 中悄悄调大了 memoryLimit，回滚后这些字段不会自动还原 —— 它们属于 Pod 模板的一部分，只有当你用 kubectl rollout undo 且该字段在历史版本中确实不同，才会被一并恢复。
