Go微服务必须主动适配Kubernetes生命周期：监听SIGTERM和os.Interrupt信号，调用http.Server.Shutdown()优雅退出；分离readinessProbe（/readyz，检查DB等依赖）与livenessProbe（/healthz，仅检查进程存活）；通过环境变量或Downward API注入配置，禁用硬编码。
Kubernetes 不管理 Golang 项目容器，Golang 项目容器必须主动适配 Kubernetes 的生命周期与管控机制。你不是“让 Kubernetes 管理 Go”，而是让 Go 服务听懂 Kubernetes 发出的信号、响应探针、接受配置注入。
Go 代码必须监听 SIGTERM 并调用 http.Server.Shutdown()
Kubernetes 在滚动更新或缩容时只发 SIGTERM，不会发 SIGKILL —— 除非你没响应。只监听 os.Interrupt（比如本地 Ctrl+C）是不够的，线上环境收不到它。
- 必须同时注册
syscall.SIGTERM和os.Interrupt，共用同一退出逻辑 -
http.Server.Shutdown()是阻塞调用，务必设超时（如30 * time.Second），超时后应直接os.Exit(1) - 数据库连接池、gRPC 客户端、消息消费者等，要在
Shutdown()返回后再关闭；顺序反了会导致请求被中断但资源未释放 - 禁用
log.Fatal()或panic触发的退出：它们跳过defer和Shutdown流程，连接不关、事务可能丢
readinessProbe 和 livenessProbe 必须分离且路径真实存在
用同一个 /healthz 同时做就绪和存活检查，是线上 Pod 反复重启的头号原因。Kubernetes 不关心你的进程是否 running，只信 HTTP 状态码。
-
livenessProbe指向/healthz：只检查进程是否卡死，不连 DB、不调下游，返回200即可 -
readinessProbe指向/readyz：必须检查真实依赖，比如db.Ping()、redis.Ping()、grpcConn.ReadyState() == connectivity.Ready -
initialDelaySeconds: 5是底线，冷启动或 GC STW 都可能耗时超过 3 秒；failureThreshold: 3避免单次抖动误判 - YAML 中
port值必须和 Go 代码中http.ListenAndServe(":8080")的端口一致，且Service.spec.ports.targetPort要完全匹配
Dockerfile 必须用多阶段构建 + CGO_ENABLED=0 + scratch 或非 root 用户
镜像里留着 golang:alpine 工具链，等于在生产环境部署了一个编译器——体积大、攻击面宽、启动慢，还容易因 libc 版本引发运行时 panic。
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
立即学习“go语言免费学习笔记（深入）”；
- 构建阶段用完整 Go 环境，运行阶段切到
scratch（无 shell、无包管理器）或alpine:latest（需apk add ca-certificates） - 编译时强制
CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-extldflags "-static"' -o main .，确保静态二进制 -
FROM scratch后必须USER 65532:65532，避免以 root 运行；若用alpine，也建议创建非 root 用户再SU - Go 服务必须监听
0.0.0.0:8080，不能写127.0.0.1:8080—— Pod IP 是网卡地址，Service 流量进不来
Deployment 的 selector.matchLabels 和 Pod template labels 必须字面量完全一致
这是最常被忽略的硬性约束。一旦 Deployment 创建成功，spec.selector 就不可变更；template 中 labels 缺字段、值不一致、或多加一个 version: v1，新 Pod 就永远进不了 Service 流量，也不会被旧 ReplicaSet 清理。
- 写法必须严格对齐，例如：
matchLabels: {app: "user-svc"}→ template 中labels: {app: "user-svc"} - 不要在 template 里额外加 label，除非 selector 显式包含它；修改 label 后 Kubernetes 会拒绝更新，报错：
field is immutable - CI/CD 中建议用
envsubst或 Helm 注入 label 值，避免手误导致 label 错位
真正难的不是写 YAML 或改 Dockerfile，而是让 Go 服务在 SIGTERM 到来前完成所有 in-flight 请求，并在 Shutdown 超时前把 DB 连接池、gRPC 连接、消息消费位点这些状态安全落地 —— 这些逻辑必须写进代码里，没法靠 Kubernetes 自动帮你做。
