多阶段构建是Go应用容器化的关键，通过分离构建与运行环境，可将镜像体积从800MB+压缩至10MB以内，同时消除编译器等非必要组件，提升安全性与启动效率。
Go 应用上 Kubernetes 不是“配个 YAML 就完事”，关键在构建、部署、可观测性三者闭环是否可靠。下面直奔实操要点。
Go 项目容器化必须用多阶段构建
单阶段构建镜像体积动辄 800MB+，运行时还带 go 编译器和调试工具，既不安全也不高效。多阶段构建能剥离构建依赖，最终镜像可压到 10MB 以内。
-
CGO_ENABLED=0必须设，否则交叉编译会失败或引入 glibc 依赖，导致 Alpine 镜像启动报no such file or directory -
GOOS=linux显式指定目标系统，避免本地 macOS/Windows 构建出错 - 最终运行镜像建议用
scratch而非alpine：无 shell、无包管理器、攻击面最小；但需确保应用无动态链接依赖（go build -ldflags="-s -w"可进一步 strip 符号）
FROM golang:1.20-alpine AS builder WORKDIR /app COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o main . FROM scratch WORKDIR /root COPY --from=builder /app/main . EXPOSE 8080 CMD ["./main"]
Deployment 中的 livenessProbe 和 readinessProbe 不能共用同一端点
很多示例把 /health 同时用于两者，这会导致 Pod 在启动初期就因未就绪被反复 kill —— livenessProbe 是“活没活着”，readinessProbe 是“能不能收流量”，语义完全不同。
-
readinessProbe应检查依赖就绪状态（如 DB 连通、配置加载完成），initialDelaySeconds设为 5–10 秒足够 -
livenessProbe应只检查进程自身健康（如 goroutine 泄漏、死锁检测），initialDelaySeconds建议 ≥30 秒，避免冷启动误杀 - 路径分离更稳妥：
readinessProbe.path: /ready，livenessProbe.path: /health
client-go 初始化必须处理 kubeconfig 路径与权限
本地开发和集群内运行时，client-go 加载配置的方式不同，硬编码路径或忽略错误会直接 panic。
立即学习“go语言免费学习笔记（深入）”；
- 优先用
clientcmd.RESTConfigFromKubeConfig或rest.InClusterConfig()自动判断环境：集群内自动读取/var/run/secrets/kubernetes.io/serviceaccount/token，本地 fallback 到$HOME/.kube/config - 若手动指定 kubeconfig 路径，务必检查文件是否存在且可读：
os.Stat+os.IsNotExist判断，别只靠BuildConfigFromFlags的 error - RBAC 权限常被忽略：ServiceAccount 至少需要
get/list/watch对应资源（如pods、deployments），否则clientset.CoreV1().Pods(ns).List()返回Forbidden
Secret 和 ConfigMap 挂载要区分 runtime vs build time
环境变量注入看似方便，但 Secret 中的敏感字段（如 API key、TLS key）一旦被日志打印或 ps aux 泄露，后果严重。
- 运行时配置（如数据库地址、feature flag）可用
ConfigMap通过环境变量或 volume 挂载 - 敏感数据（如 JWT signing key、云厂商 access key）必须用
Secret，且只以 volume 方式挂载到文件（避免出现在env列表里） - 挂载后文件默认权限是
0644，若应用要求严格（如 TLS key 需0600），得在容器启动脚本中chmod，或用defaultMode字段在 YAML 中声明：defaultMode: 0600
最易被跳过的细节是：Pod 启动后，readinessProbe 成功前流量不会打进来，但 livenessProbe 失败会触发重启 —— 这两个探针的路径、超时、重试逻辑必须独立设计，不能复制粘贴。另外，scratch 镜像里没有 sh，所以所有健康检查必须是 HTTP 或 TCP，没法 exec。
