直接用golang:latest构建镜像会导致体积超1GB、root权限过高、存在高危漏洞；必须采用多阶段构建，编译阶段用golang:1.21-alpine，运行阶段用alpine:3.18并设置CGO_ENABLED=0 GOOS=linux，绑定0.0.0.0:8080，配置与镜像分离，实现/health匿名接口。
为什么直接用 golang:latest 构建镜像会出问题
因为最终镜像里塞进了整个 Go 编译工具链，体积动辄 800MB+，还包含大量生产环境根本用不到的调试、测试、文档等组件。更麻烦的是，golang:latest 镜像默认以 root 用户运行，容器内进程权限过高，不符合安全基线要求。
实际部署时常见现象：docker images 查看镜像大小超过 1GB；K8s Pod 启动失败并报错 permission denied；Trivy 扫描提示高危漏洞（如 CVE-2023-45853）。
- 必须用多阶段构建：第一阶段用
golang:1.21-alpine编译，第二阶段用alpine:3.18运行 -
CGO_ENABLED=0 GOOS=linux是硬性要求，否则二进制会动态链接 libc， Alpine 上跑不起来 -
-ldflags="-w -s"要加，不然镜像里带调试符号，体积翻倍且暴露源码路径 - 别在运行阶段
RUN apk add任何额外包——Alpine 的ca-certificates和tzdata已够用
gin.Run() 在容器里监听 :8080 为啥访问不到
不是代码问题，是容器网络没打通。Gin 默认绑定 127.0.0.1:8080，而 Docker 容器内部的 localhost 只指向自身，宿主机或 Kubernetes Service 根本连不上。
正确写法必须显式绑定 0.0.0.0:8080：
r.Run("0.0.0.0:8080")
否则即使 EXPOSE 8080 和 -p 8080:8080 都写了，端口映射也无效——因为应用根本没在那个地址上监听。
- 本地开发可写
:8080（Go 会自动补成127.0.0.1:8080），但容器化必须写全0.0.0.0 - Kubernetes 的
livenessProbe和readinessProbe会从 Pod 网络空间发起请求，只认0.0.0.0 - 如果用了反向代理（如 Nginx Ingress），它也是从集群内网访问你的 Pod IP，同样依赖
0.0.0.0
配置文件怎么放进容器又不暴露敏感信息
别把 config.yaml 直接 COPY 进镜像。一旦打包进去，所有能拉到镜像的人都能 docker run --rm -it your-app cat configs/config.yaml 看到数据库密码。
生产环境唯一安全做法：配置与镜像分离，通过挂载或环境变量注入。
- 用 ConfigMap + volumeMount：K8s 中把配置挂载为文件，
COPY --from=builder这步完全删掉 - 用
viper.AutomaticEnv()+viper.SetEnvKeyReplacer(strings.NewReplacer(".", "_"))，让代码读SERVER_PORT代替server.port - Docker Compose 里用
env_file:或environment:注入，配合.env文件做本地调试 - 绝对不要在 Dockerfile 里写
RUN echo "password: xxx" > config.yaml——历史层依然可被docker history查到
健康检查 /health 接口为什么总超时
因为没实现或没暴露。Kubernetes 默认用 HTTP GET 检查，如果路由没注册、中间件拦截了、或者响应太慢，就会反复重启 Pod。
最简健壮写法：
r.GET("/health", func(c *gin.Context) {
c.String(200, "ok")
})
注意点：
- 路径必须和 K8s YAML 里
livenessProbe.httpGet.path完全一致（比如写成/healthz就得同步改配置） - 别在里面加数据库连接检查——
initialDelaySeconds设太小会导致启动时误判失败 - 别用
c.JSON返回结构体，纯字符串"ok"最快，避免 JSON 序列化开销 - 确保该路由没被 JWT 或其他鉴权中间件拦截，健康检查接口必须匿名可访问
