私有镜像仓库地址必须显式声明，否则docker push默认推送到Docker Hub导致失败或误传；所有操作需带完整仓库域名，如registry.example.com:5000/myorg/go-app:v1.2.0，且构建、登录、推送、Kubernetes引用均须保持一致。
私有镜像仓库地址必须显式声明
不指定仓库地址时，docker build 和 docker push 默认走 Docker Hub，这会导致推送失败或误传到公共空间。所有操作必须带完整仓库域名，比如 registry.example.com:5000/myorg/go-app:v1.2.0。
常见错误现象：执行 docker push go-app:v1.2.0 报错 denied: requested access to the resource is denied，本质是没加仓库前缀，系统试图推送到 Docker Hub 的同名仓库。
- 构建时用
-t registry.example.com:5000/myorg/go-app:v1.2.0 - 推送前先
docker login registry.example.com:5000（注意端口不能漏） - Kubernetes 的
image:字段也必须写全，例如registry.example.com:5000/myorg/go-app:v1.2.0
Go 镜像需适配私有仓库的 TLS/认证机制
自建私有仓库（如 Harbor、GitLab Container Registry、本地 registry:2）常启用 HTTPS + 证书校验，或要求 Basic Auth。Docker 客户端和 Kubernetes 节点都必须提前配置信任。
典型问题：Kubernetes 拉取镜像失败，事件中出现 Failed to pull image "registry.example.com:5000/myorg/go-app:v1.2.0": rpc error: code = Unknown desc = failed to pull and unpack image...，多数因节点未信任该仓库证书或没配 imagePullSecrets。
- Docker daemon 端：把私有仓库 CA 证书放入
/etc/docker/certs.d/registry.example.com:5000/ca.crt，然后重启dockerd - Kubernetes 节点：同样需安装 CA 证书（路径依 OS 而定，如 Ubuntu 是
/usr/local/share/ca-certificates/，再运行update-ca-certificates） - 若仓库启用了用户密码认证，必须在集群中创建
Secret类型为kubernetes.io/dockerconfigjson，并在 Pod 或 ServiceAccount 中引用
多阶段构建中避免硬编码私有模块凭证
Go 应用若依赖私有 Git 仓库（如 GitHub 私有 repo、GitLab 内部模块），go build 阶段需能访问这些地址。但把账号密码写死在 Dockerfile 里极不安全，且无法被 Kubernetes Secret 注入。
正确做法是利用构建参数（--build-arg）或挂载凭据文件，而非在镜像层留下敏感信息。
- 不要用
RUN git config --global credential.helper store && echo "https://user:pass@github.com" > ~/.git-credentials—— 凭证会留在镜像历史中 - 改用
--build-arg GIT_AUTH_TOKEN=xxx，在RUN中临时设置环境变量并用git -c http.extraheader=... clone方式拉取 - 更推荐方式：在 CI 流水线中预下载依赖（
go mod download），再 COPY 到 builder 阶段，彻底绕过构建时鉴权
Kubernetes 拉取私有镜像失败的快速定位点
不是所有“拉不到镜像”的问题都出在镜像本身。实际排查顺序建议从下往上：Docker daemon → kubelet → Pod spec。
最容易忽略的是 kubelet 的 --insecure-registry 或 --registry-mirror 配置冲突，尤其当私有仓库用 HTTP（非 HTTPS）时，kubelet 默认拒绝。
- 检查节点上
ps aux | grep kubelet是否含--insecure-registry=registry.example.com:5000 - 确认 Pod 所在命名空间是否绑定了正确的
imagePullSecrets（注意 Secret 必须与 Pod 同 namespace） - 用
crictl pull registry.example.com:5000/myorg/go-app:v1.2.0在节点上手动测试拉取，比看 Pod 事件更快定位是网络、证书还是权限问题
