Go服务必须监听0.0.0.0而非127.0.0.1，否则kube-proxy等无法访问；containerPort、探针端口、Service targetPort须与代码监听端口严格一致；需配置readiness/liveness探针；镜像须静态编译、非root运行。
Go语言本身不“部署Kubernetes环境”，而是用Go写的程序被部署到Kubernetes里；你要配的是Go服务在K8s里的运行条件，不是用Go去搭K8s集群。
Go服务监听地址必须是0.0.0.0:8080，不能是localhost或127.0.0.1
Kubernetes中每个Pod有独立网络命名空间，127.0.0.1只指向容器自己，kubelet探针、Service流量、其他Pod都连不上。常见错误是写http.ListenAndServe(":8080", nil)——这等价于127.0.0.1:8080。
- 正确写法：
http.ListenAndServe("0.0.0.0:8080", nil) - 更健壮的做法：从环境变量读端口，强制绑定
0.0.0.0：port := os.Getenv("PORT")<br>if port == "" {<br> port = "8080"<br>}<br>log.Fatal(http.ListenAndServe("0.0.0.0:"+port, nil)) - 别在代码里硬编码
localhost或127.0.0.1，Kubernetes不认这个“本地”
containerPort字段不是可选项，必须和监听端口严格一致
containerPort虽不校验语法，但它是Kubernetes识别容器暴露端口的唯一依据。缺失或错位会直接导致探针失败、Service无法转发、CNI插件拦截入向连接。
- Deployment中
containerPort: 8080必须等于代码里ListenAndServe绑定的端口号 - 它只是元数据声明，不开启防火墙也不做端口映射，只为探针和服务发现提供依据
- 如果改用
9000，Dockerfile的EXPOSE、Deployment的containerPort、探针httpGet.port、Service的targetPort四者必须同步更新
Ingress + Certificate资源必须手动创建，不能只靠tls字段自动触发
cert-manager不会扫描Ingress自动生成证书。你必须显式定义Certificate资源，并确保它和Ingress严丝合缝对齐。
立即学习“go语言免费学习笔记（深入）”；
-
Certificate.spec.secretName必须和Ingress中tls.secretName完全一致（大小写敏感） -
Certificate.spec.issuerRef.name要指向已存在的ClusterIssuer（不是Issuer），且kind字段写对 -
Certificate.spec.dnsNames必须包含Ingress中所有hosts，多域名用列表，漏一个都不签发 - Go应用本身无需任何TLS适配，cert-manager只操作Kubernetes原生资源，和语言无关
多阶段Dockerfile要用scratch或alpine，且CGO_ENABLED=0
Golang二进制是静态的，但默认构建镜像常带Go工具链和libc依赖，既臃肿又危险。
- 构建阶段用
golang:1.22-alpine，运行阶段切到scratch（无shell、无包管理器） - 编译时加
CGO_ENABLED=0 GOOS=linux，确保生成纯静态二进制，不依赖系统库 - 用
USER 65532:65532以非root用户运行，避免逃逸后提权 - 忘了
EXPOSE 8080或监听地址写错，Service流量根本进不来
最容易被忽略的其实是四点对齐：代码监听地址、containerPort、探针port、targetPort——少一个，CrashLoopBackOff和connection refused就跟着来了。
