Go应用打包K8s镜像需用多阶段构建：先在golang镜像中交叉编译（CGO_ENABLED=0 GOOS=linux），再COPY二进制至scratch或alpine镜像，显式声明EXPOSE和CMD，并确保containerPort与程序监听端口一致。
Go 应用怎么打包成 Kubernetes 可部署的镜像
Go 二进制文件本身是静态链接、无依赖的，所以 Docker 镜像可以极小（甚至用 scratch 基础镜像），但必须注意：默认构建的二进制是针对本地平台的，跨平台构建需显式指定 GOOS 和 GOARCH。
常见错误现象：本地 macOS 构建的二进制在 Linux 容器中直接报 exec format error；或忘记关闭 CGO 导致镜像里仍需 libc 依赖。
- 构建前加环境变量：
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o server ./cmd/server - Dockerfile 推荐用多阶段构建，第一阶段编译，第二阶段仅拷贝二进制：
FROM golang:1.23-alpine AS builder WORKDIR /app COPY . . RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o server ./cmd/server FROM scratch COPY --from=builder /app/server /server EXPOSE 8080 CMD ["/server"]
- 镜像推送到华为云 SWR（软件仓库）前，确认已执行
docker login并使用正确的组织名和镜像路径，例如：swr.cn-north-4.myhuaweicloud.com/myorg/go-app:v1.0
kubectl 怎么对接华为云 CCE 集群并验证权限
华为云 CCE 控制台生成的 kubeconfig 文件默认只包含当前用户的短期访问凭证（有效期通常为 24 小时），且绑定到特定区域（如 cn-north-4）和集群。直接复用旧配置常导致 Forbidden 或 Unauthorized 错误。
关键点在于：CCE 的 kubeconfig 不是“一次下载永久有效”，每次需要重新获取，尤其在 token 过期或用户权限变更后。
- 登录 CCE 控制台 → 进入目标集群 → 点击右上角「获取 KubeConfig」→ 选择「本地执行」→ 下载并覆盖本地
~/.kube/config - 验证是否生效：
kubectl get nodes应返回节点列表；若报错User "xxx" cannot list resource "nodes"，说明该 IAM 用户未被授予 CCE 集群的CCE FullAccess或自定义策略中的cce:clusters:get权限 - 如需同时管理多个 CCE 集群，不要合并
kubeconfig，改用kubectl --kubeconfig=/path/to/kubeconfig-xxx get pods显式指定，避免上下文污染
Deployment YAML 里哪些字段在 CCE 上必须显式设置
华为云 CCE 对部分字段有隐式约束，尤其是网络与安全相关配置。不写清楚容易导致 Pod 启动失败、无法调度或服务不可达。
最常漏掉的是容器端口声明和资源限制——CCE 的节点自动伸缩（CA）和调度器依赖这些值做决策；未设 resources.requests 的 Pod 可能被拒绝调度到资源紧张的节点。
-
containers[].ports[].containerPort必须与 Go 程序实际监听端口一致（如:8080），否则 Service 无法正确转发 -
resources建议至少设置requests：resources: requests: memory: "128Mi" cpu: "100m" - 若应用不需要访问 Kubernetes API（比如纯 HTTP 服务），务必关闭默认 token 挂载：
automountServiceAccountToken: false，否则容器内会暴露一个高权限 token，存在安全风险 - CCE 默认启用 NetworkPolicy，若用了
container tunnel network模式，又没配 NetworkPolicy，则 Pod 间默认互通；但一旦启用了策略，就需显式放行，否则连coredns都可能解析失败
Service 类型选 ClusterIP 还是 NodePort？CCE 里怎么暴露给公网
CCE 集群内部访问用 ClusterIP 没问题，但对外暴露不能只靠 NodePort——它端口范围受限（30000–32767），且需手动维护节点 IP，不适合生产。
华为云推荐路径是：用 Service 类型为 LoadBalancer，由 CCE 自动创建 ELB 实例并绑定后端节点。但前提是集群创建时已开启「弹性负载均衡 ELB 插件」（默认开启），否则 kubectl apply 会卡住或报错 no available node port。
- 确保 Service YAML 中
type: LoadBalancer，并指定ports[].port（如 80）和targetPort（如 8080） - 部署后运行
kubectl get service，等待EXTERNAL-IP字段从<pending>变为 ELB 的 VIP 地址（形如121.xxx.xxx.xxx） - ELB 默认监听协议为 TCP，若需 HTTPS，得在 ELB 控制台单独配置监听器和证书，Service 层面不处理 TLS 终止
- 若测试阶段想快速验证，可用
kubectl port-forward service/go-app 8080:80临时转发，但该命令不适用于长期暴露
真正容易被忽略的是命名空间（Namespace）一致性：CCE 集群里所有资源（Deployment、Service、ConfigMap）必须在同一个 Namespace 下才能联动；而 ServiceStage 等上层平台绑定 CCE 时，还会额外要求该 Namespace 已预先创建且与环境 VPC 对齐。跨命名空间调用 Service 时，DNS 名称格式必须是 service-name.namespace.svc.cluster.local，少写一段就解析失败。
