Go服务必须监听0.0.00.0或空host（如":8080"），不能绑定127.0.0.1，否则Service流量无法进入；需禁用CGO静态构建、严格匹配labels、正确配置Service类型与探针路径，否则本地集群看似运行实则不可访问。
直接部署到本地 Kubernetes 集群（比如 kind、minikube 或 k3s）和部署到生产集群本质一致，但本地环境更容易暴露几个“看似运行成功、实则根本连不上”的硬伤。关键不是“能不能跑”，而是“服务是否真能被访问到”。
Go 代码里监听地址必须是 :8080，不能是 127.0.0.1:8080
Pod 内的 localhost 只指向自己，Service 流量根本进不来。哪怕 kubectl get pods 显示 Running，curl 任何 IP 都会超时。
- 错误写法：
http.ListenAndServe("127.0.0.1:8080", nil) - 正确写法：
http.ListenAndServe(":8080", nil)（空 host 表示监听所有接口） - 更稳妥做法：读取环境变量
PORT，拼成":" + os.Getenv("PORT")，方便后续改端口不改代码
Dockerfile 必须禁用 CGO 并用静态构建
本地集群（尤其是 kind/minikube 默认用 containerd + rootless 模式）对动态链接库极其敏感。Alpine 镜像若没关 CGO，运行时直接报 no such file or directory，日志里只显示 standard_init_linux.go:228: exec user process caused...，根本看不到具体缺哪个 so。
- 构建阶段加
CGO_ENABLED=0：例如RUN CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-extldflags "-static"' -o main . - 运行阶段推荐
FROM scratch或gcr.io/distroless/static-debian12，别用alpine:latest后再apk add—— 增大体积还引入 shell 攻击面 - 务必加
USER 65532:65532，非 root 运行，否则 kind/minikube 的 security context 会直接拒绝启动
Deployment 的 selector.matchLabels 和 template.labels 必须逐字相同
这是 Kubernetes API Server 的硬校验，不是建议。差一个空格、大小写不一致、键名多下划线，kubectl apply 就会报 field is immutable 或 invalid label selector，且后续所有 apply 都失败，除非删掉 Deployment 重建。
立即学习“go语言免费学习笔记（深入）”；
- 必须完全一致，例如都写成
app: go-api，不能一边是app: go-api，另一边是app: GoApi -
replicas字段在 YAML 中写数字没问题（replicas: 2），但如果你用 client-go 编程部署，得用pointer.Int32(2)，因为类型是*int32 - 镜像 tag 不能用
:latest—— 本地反复docker build && kubectl apply时，K8s 不会重新拉取同名镜像，你改了代码也看不到效果
Service 类型选错会导致本地根本 curl 不通
本地集群没有云厂商 LoadBalancer，type: LoadBalancer 会卡在 Pending；type: ClusterIP 默认只能在集群内访问；想从宿主机 curl http://localhost:8080，必须用 type: NodePort 或 type: LoadBalancer（配合 kind 的 port mapping）。
- 用 kind 时，推荐在集群配置里提前映射端口，例如
ports:下写- "8080:8080"，然后 Service 用ClusterIP即可从宿主机直连 - 用 minikube 时，
minikube service <service-name>会自动开浏览器或打印可访问 URL - 无论哪种，Service 的
selector必须和 Deployment 的matchLabels完全匹配，否则 endpoints 为空，kubectl get endpoints看不到 IP
最容易被忽略的是健康探针路径没实现 —— Deployment 配了 livenessProbe 却没在 Go 里注册 /healthz，Pod 会不断重启，而 kubectl logs 看不到错误，因为进程还没活过探针周期就被杀掉了。
