Kubernetes部署Go服务必须满足三个硬性条件：监听0.0.0.0而非127.0.0.1、提供/healthz和/readyz探针路径、使用CGO_ENABLED=0构建的静态二进制镜像，任一不匹配都会导致Pod卡在ContainerCreating或CrashLoopBackOff。
直接跑不起来，八成是监听地址、探针路径或镜像构建三者之一没对上——Kubernetes 不关心你的 Go 代码写得多漂亮，只认 0.0.0.0:8080、/healthz 和静态二进制这三样。
Go 服务必须监听 0.0.0.0:PORT，不能用 127.0.0.1
Pod 内的 localhost 只指向自己，Service 流量根本进不来。哪怕 kubectl get pods 显示 Running，curl 也必超时。
- 错：
http.ListenAndServe("127.0.0.1:8080", nil) - 对：
http.ListenAndServe(":8080", nil)（空 host = 所有接口） - 更稳妥：读环境变量，
port := os.Getenv("PORT")，再拼":" + port - 检查方式：
kubectl exec -it <pod> -- netstat -tlnp，确认监听的是*:8080，不是127.0.0.1:8080
Dockerfile 必须禁用 CGO 并用 scratch 或 distroless 运行
用 golang:alpine 直接运行，大概率启动失败，报错 standard_init_linux.go:228: exec user process caused: no such file or directory——这是 musl libc 和 glibc 链接冲突的典型症状。
- 构建阶段加
CGO_ENABLED=0：RUN CGO_ENABLED=0 go build -a -ldflags '-extldflags "-static"' -o main . - 运行阶段别用带 shell 的基础镜像：
FROM scratch或FROM gcr.io/distroless/static-debian12 - 避免
FROM alpine:latest后再apk add ca-certificates——scratch 没包管理器，但体积更小、攻击面更低 - 记得设非 root 用户：
USER 65532:65532，否则securityContext.runAsNonRoot: true会拒绝调度
Deployment 的 readinessProbe 和 livenessProbe 路径必须真实存在
Kubernetes 不靠进程存活判断健康，而是发 HTTP 请求。路径不存在、返回非 2xx、或 handler 里没写 w.WriteHeader(http.StatusOK)，都会导致 Pod 反复重启。
立即学习“go语言免费学习笔记（深入）”；
- 至少暴露两个端点：
/healthz（只检查进程）、/readyz（可加 DB 连通性等逻辑） - handler 示例：
http.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) }) -
initialDelaySeconds别设太小，Golang 启动快但冷启动仍需 1–2 秒，建议 ≥ 5 - Probe 路径必须和 Service 的
targetPort对齐，且不能被中间件（如 CORS、Auth）拦截
Deployment selector.matchLabels 和 template.labels 必须完全一致
这是 Kubernetes 的硬校验，不是“最好一致”。哪怕一个空格、大小写差一点、键名多下划线，kubectl apply 就会报 invalid label selector，且后续所有更新都失败，除非删掉重建。
- 必须一模一样：
selector.matchLabels.app: go-api和template.metadata.labels.app: go-api - 别混用
app和APP，也别一边用app: go-api，另一边写app: "go-api"（带引号在 YAML 解析中可能转成字符串类型） - replicas 字段值必须是整数，但 YAML 中写
replicas: 2是合法的；只有用 client-go 编程部署时才需pointer.Int32(2) - 镜像 tag 别用
:latest，生产环境必须带明确版本，如:v1.2.0
最容易被忽略的是：探针路径 handler 里漏了 w.WriteHeader，导致默认返回 200 但 body 是空，某些旧版 kubelet 会判定为失败；还有就是 EXPOSE 8080 写了，但 Go 代码监听端口和容器 containerPort 数值不一致——这三个数字（代码监听端口、Dockerfile EXPOSE、YAML containerPort）必须严格相同。
