Go服务在Kubernetes中运行不稳的根源在于四大硬性缺失：未静态编译（CGO_ENABLED=0必须写入RUN指令）、探针路径未分离（/livez与/readyz逻辑隔离）、未捕获SIGTERM实现优雅退出、配置未分层导致环境耦合。
Go 服务在 Kubernetes 中跑不稳、扩缩容失效、健康检查总失败？不是框架选得不对，而是集成流程里漏掉了几个硬性环节：镜像没静态编译、探针没分离、信号没捕获、配置没分层。
CGO_ENABLED=0 必须出现在构建命令中，不能只靠环境变量
Alpine 镜像下运行 Go 二进制报 standard_init_linux.go:228: exec user process caused: no such file or directory，99% 是因为忘了加 CGO_ENABLED=0。musl libc 和 glibc 不兼容，这不是警告，是直接启动失败。
-
CGO_ENABLED=0要写在RUN指令里，比如RUN CGO_ENABLED=0 GOOS=linux go build -o main .；仅设ENV CGO_ENABLED=0在多阶段构建中无效 - 搭配
-ldflags "-s -w"可再压 30%～40% 体积，scratch镜像里连ls都没有，调试靠日志，别指望sh - 即使你用
ubuntu:22.04做基础镜像，也建议关掉 CGO：避免 libc 升级后二进制崩溃，且体积更可控
readinessProbe 和 livenessProbe 必须走不同路径和不同逻辑
共用 /healthz 是线上雪崩常见起点。Kubernetes 不会区分“能不能收流量”和“要不要重启”，它只按配置执行。
-
livenessProbe应该只响应/livez，不做 DB 查询、不调下游，1–3 秒超时，HTTP 200 即可 -
readinessProbe对应/readyz，必须检查真实依赖（如db.PingContext()、gRPC 连通性），超时建议 ≥10 秒 - 两个探针不能共享 handler——中间件（如 auth、rate limit）必须绕过，否则未就绪时 401/429 会误判为失败
- Deployment YAML 中
initialDelaySeconds对readinessProbe至少设 5 秒，给 DB 连接池 warmup 时间
main 函数必须捕获 SIGTERM 并调用 http.Server.Shutdown()
滚动更新时 Pod 被删但请求还在处理，5xx 突增或连接重置，大概率是没做优雅退出。Kubernetes 发出 SIGTERM 后只有 30 秒默认宽限期，超时直接 SIGKILL。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
- 用
signal.Notify(quit, os.Interrupt, syscall.SIGTERM)监听，别只监听os.Interrupt -
srv.Shutdown()必须传context.WithTimeout(context.Background(), 30*time.Second)，超时值要略大于最长业务耗时 - Shutdown 返回后，再关闭 DB 连接池、gRPC client、Redis pub/sub 等资源；顺序反了会导致 Shutdown 卡住
- 千万别在 defer 里关 server——它不响应信号；也别用
os.Exit(0)替代，那等于放弃所有活跃连接
client-go 连接集群时 InClusterConfig() 失败的三个真实原因
open /var/run/secrets/kubernetes.io/serviceaccount/token: permission denied 这类错误不是权限配置错，而是容器运行上下文没对齐。
- 非 root 用户运行容器时，若未显式挂载
/var/run/secrets/kubernetes.io/serviceaccount，系统拒绝读 token 文件——哪怕目录存在 -
InClusterConfig()依赖KUBERNETES_SERVICE_HOST和KUBERNETES_SERVICE_PORT环境变量，本地调试时这两个变量为空，直接 panic - ServiceAccount 没绑定 RoleBinding 或 ClusterRoleBinding，token 有但没权限，报 403 而非 401
- 推荐 fallback 写法：
if os.Getenv("KUBERNETES_SERVICE_HOST") == "" { config, _ = clientcmd.BuildConfigFromFlags("", "/path/to/kubeconfig") }
最常被跳过的其实是探针路径与 handler 的绑定时机——它必须在 http.ListenAndServe() 之前注册，且不能被任何中间件拦截。很多团队花三天查 readinessProbe 失败，最后发现只是 router.Use(authMiddleware) 把 /readyz 也拦了。
