Go应用在Kubernetes中频繁重启，主因是livenessProbe配置错误：/healthz端点必须轻量（不查DB/下游）、路径与YAML严格一致、监听0.0.0.0、initialDelaySeconds设10–30秒、timeoutSeconds≤2秒，且liveness与readiness探针须分离使用。
Go 应用在 Kubernetes 中跑不起来，八成是 livenessProbe 配错了——它不是“加了就行”，而是必须和代码端点、容器端口、启动节奏严丝合缝。错一个地方，Pod 就卡在 CrashLoopBackOff 或者反复重启。
Go 代码里必须暴露 /healthz 端点
Kubernetes 的 livenessProbe 不会猜你的健康逻辑，只认 HTTP GET 路径返回码。没这个端点，探针永远 404，kubelet 就当服务挂了，不停重启。
-
/healthz只做最轻量检查：进程是否在监听、HTTP server 是否已启动，**不能查 DB、不连 Redis、不调下游** - 用标准库写法：
http.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(200) }) - 用 Gin 写法：
r.GET("/healthz", func(c *gin.Context) { c.Status(200) }) - 路径名必须和 Deployment YAML 中的
httpGet.path完全一致（大小写、斜杠都不能差）
Deployment YAML 里 livenessProbe 参数怎么设
光有端点不够，YAML 里探针配置不对，照样白搭。重点不是“要不要加”，而是每个字段为什么这么填。
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
-
httpGet.path必须和代码注册的路径一致，比如代码是/healthz，这里就不能写成/health -
httpGet.port必须等于容器内监听的端口（containerPort），比如 Go 服务http.ListenAndServe(":8080", nil)，那这里就得填8080 -
initialDelaySeconds建议设为 10–30：给 Go 服务留出初始化时间（比如加载配置、连接池建立），太小会导致探针抢在服务 ready 前就失败 -
timeoutSeconds别超过 2：HTTP 探针超时太久，会拖慢整个 Pod 恢复节奏；Go 服务响应/healthz应该是毫秒级 - 别省略
periodSeconds和failureThreshold：默认值（10s / 3次）在多数场景下可用，但高负载时可调成periodSeconds: 5+failureThreshold: 2加快故障识别
镜像构建和启动方式必须匹配探针行为
探针连不上，90% 是因为容器根本没真正监听端口，或者监听的是 127.0.0.1 而非 0.0.0.0。
- Go 服务必须监听
0.0.0.0:8080，不能只写:8080（虽然 Go 默认等价，但显式写清楚更稳妥） - Dockerfile 必须用多阶段构建 +
CGO_ENABLED=0，否则镜像可能带动态依赖，启动失败却不报错，导致探针一直连不上 - 启动命令里别漏掉端口：比如
ENTRYPOINT ["./myapp"]，确保myapp启动时明确绑定到0.0.0.0:8080 - 加一行启动日志：
log.Printf("server started on :8080")，方便从kubectl logs判断是启动失败还是探针配置错
为什么 livenessProbe 和 readinessProbe 不能共用一个端点
共用 /healthz 看似省事，实际埋雷。Kubernetes 对这两个探针的语义要求完全不同，混用会导致流量误切或重启误判。
-
livenessProbe失败 → kubelet 杀进程并重启容器，它只关心“进程还活着吗” -
readinessProbe失败 → kubelet 把 Pod 从 Service 的 Endpoint 列表中摘除，它关心“能收请求了吗” - 如果
/healthz里偷偷查了 DB，DB 临时抖动就会触发livenessProbe失败 → 无意义重启，甚至引发雪崩 - 正确做法：
livenessProbe指向/healthz（纯进程存活），readinessProbe指向/readyz（含轻量依赖检查）
最容易被忽略的一点：探针路径、容器端口、代码监听地址、Dockerfile 构建方式、启动日志输出——这五件事必须同步验证，缺一不可。单独看每项都对，合起来跑不通，大概率是其中某一项的隐式行为没对齐，比如 Go 默认监听 0.0.0.0，但你用了某个中间件却悄悄改成了 127.0.0.1，这时候探针就永远连不上。
