部署Go应用前必须确认镜像可被集群访问，否则Pod卡在ContainerCreating状态；需打标签、推送到仓库、配置Secret（同命名空间）、使用不可变tag及正确imagePullPolicy。
部署Go应用前必须确认镜像是否可被集群访问
直接用 docker build 本地构建的镜像默认只存在本机，kubectl apply 时会卡在 ContainerCreating 状态，describe pod 可看到错误：ErrImagePull 或 ImagePullBackOff。这不是 Go 应用本身的问题，而是镜像分发链路断了。
实操建议：
- 本地开发完后，用
docker tag打上带仓库地址的标签，例如docker tag my-go-app:1.0.0 harbor.example.com/prod/my-go-app:1.0.0 - 执行
docker push推送到私有或公有镜像仓库（如 Harbor、ECR、Docker Hub） - 确保 Kubernetes 集群节点能解析并访问该仓库域名，必要时配置
/etc/hosts或 CoreDNS - 若用私有仓库，必须提前创建
Secret类型为kubernetes.io/dockerconfigjson，并在 Pod 的imagePullSecrets中引用
Deployment 中指定镜像时要避免硬编码标签
写死 image: my-go-app:v1.2.3 会导致滚动更新困难、灰度难控制、GitOps 同步失败。Kubernetes 不校验镜像内容一致性，相同 tag 可能对应不同二进制——这是最常被忽略的隐患。
实操建议：
- CI 流水线中用 Git commit SHA 或 Build ID 生成不可变 tag，例如
image: my-go-app:8a3f2c1 - 在 Deployment YAML 中用
imagePullPolicy: IfNotPresent（非Always）可避免每次拉取，但前提是镜像 tag 确实不变；若用latest，IfNotPresent会让集群跳过校验，导致旧镜像残留 - 生产环境建议显式设为
imagePullPolicy: Always，并配合不可变 tag 使用
私有仓库认证 Secret 必须绑定到正确命名空间
kubectl create secret docker-registry regcred --docker-server=harbor.example.com --docker-username=admin --docker-password=xxx 默认创建在 default 命名空间。如果 Deployment 在 prod 命名空间，Pod 会因找不到 imagePullSecrets 而拉取失败，错误信息是：Failed to pull image "harbor.example.com/prod/my-go-app:8a3f2c1": rpc error: code = Unknown desc = unauthorized: authentication required
实操建议：
- 创建 Secret 时加
-n prod指定命名空间：kubectl create secret docker-registry regcred -n prod --docker-server=... - Deployment 中引用时，
imagePullSecrets只能引用**同命名空间**内的 Secret，跨命名空间不生效 - 可用
kubectl get secret -n prod regcred -o yaml检查 base64 解码后的.dockerconfigjson是否含正确 server/username/token
Go 应用容器化要注意 WORKDIR 和入口命令
很多 Go 编译产物是静态二进制，但 Dockerfile 写错 WORKDIR 或漏掉 CMD，会导致容器启动后立即退出，状态变成 CrashLoopBackOff，而日志为空——因为进程根本没跑起来。
实操建议：
- Dockerfile 中推荐用多阶段构建：build 阶段用
golang:1.22-alpine编译，final 阶段用scratch或alpine:latest运行，减小体积且无攻击面 - final 阶段务必设置
WORKDIR /app并COPY二进制到该路径，再用CMD ["/app/my-go-app"]启动（注意 JSON 数组格式，避免 shell 形式导致信号转发异常） - 若应用监听
0.0.0.0:8080，Service 的targetPort必须与容器内实际端口一致；可用lsof -i :8080或netstat -tuln在容器内验证
