Go程序监听地址必须是0.0.0.0而非localhost，因localhost仅限容器内回环访问；正确写法为http.ListenAndServe("0.0.0.0:8080", nil)，并需验证netstat、docker port及curl三层连通性。
容器内 Go 程序监听地址必须是 0.0.0.0，不是 localhost
Go 的 http.ListenAndServe 默认绑定 localhost:8080 时，只接受来自容器内部的连接（即 loopback），宿主机或外部请求无法到达。这是最常被忽略的根源。
正确写法是显式指定 0.0.0.0:8080：
http.ListenAndServe("0.0.0.0:8080", nil)
- 若用
os.Getenv("PORT")动态读取端口，确保环境变量传入且值不为空，否则默认 fallback 到:8080仍可能隐含localhost - Docker 的
ports字段（如-p 8080:8080）只做 NAT 转发，不修改 Go 进程实际监听行为 - 验证方式：进容器执行
netstat -tuln | grep :8080，看到0.0.0.0:8080才算成功绑定
用 docker port 和 curl 分两步确认映射是否生效
docker port 显示的是 Docker daemon 实际配置的转发规则，比 docker ps 更可信；而 curl 是最终验证连通性的“最后一公里”。
- 先查映射：
docker port <container-name></container-name>，输出应为类似8080/tcp -> 0.0.0.0:8080（非空即表示已配置） - 再测访问：
curl -v http://localhost:8080/health，关注返回状态码和Connected to ::1或Connected to 127.0.0.1 - 若
curl失败但docker port有输出，说明问题在 Go 程序未响应（比如 panic、未启动 HTTP server、监听地址错误） - 若
docker port无输出，说明启动容器时漏了-p或 Compose 中ports缩进/格式错误（YAML 对空格敏感）
宿主机防火墙或 SELinux 可能拦截映射端口
即使 Docker 内部一切正常，Linux 主机层的策略仍会拦住请求。尤其在 CentOS/RHEL 或启用了 firewalld 的系统上常见。
立即学习“go语言免费学习笔记（深入）”；
- 检查是否拦截：
sudo ss -tuln | grep :8080—— 若无输出，说明端口没被监听；若有但curl超时，大概率是防火墙挡了 - 临时放行：
sudo firewall-cmd --add-port=8080/tcp --permanent && sudo firewall-cmd --reload - SELinux 用户注意：
setsebool -P container_manage_cgroup on可解部分网络受限场景，但更推荐先用getenforce确认是否启用 - 云服务器还需检查安全组（AWS/Aliyun 控制台），它比本地防火墙优先级更高
多容器协作时，别把 service 名当 localhost 用
在自定义网络（如 docker network create go-net）中，Go 应用调用 Redis 或其他服务，地址必须写容器名（如 redis:6379），而非 localhost:6379 —— 后者会连到自己进程内部，不是目标容器。
- 验证 DNS 解析：
docker exec -it <go-app> nslookup redis</go-app>，应返回容器 IP；失败则网络未正确关联 - Go 代码里硬编码
localhost是开发期惯性，上线前必须替换，建议统一从REDIS_URL环境变量读取 - 若用 Docker Compose，确保
depends_on仅控制启动顺序，不解决 DNS 延迟；首次连接失败可加重试逻辑，而非改用127.0.0.1
netstat 确认 Go 监听地址 → 再看 docker port 确认映射存在 → 最后用 curl 从宿主机发起请求。三层任一环节断开，都别急着改 Go 代码——90% 的“端口不通”其实卡在配置或系统策略上。 
