Golang服务在Kubernetes中需通过Deployment绑定镜像、配置、探针与资源限制；使用多阶段Dockerfile构建静态二进制镜像（CGO_ENABLED=0+scratch基础镜像+非root用户）；必须配置独立的readinessProbe和livenessProbe路径并设initialDelaySeconds；敏感配置须通过ConfigMap/Secret注入，避免硬编码或命令行传参。
Deployment 是 Golang 服务在 Kubernetes 中真正“活起来”的起点，不是写完代码就能跑，而是必须通过它把镜像、配置、探针、资源限制全部绑定成一个可调度、可伸缩、可自愈的单元。
用多阶段 Dockerfile 构建轻量、安全、静态二进制镜像
Golang 编译产物是静态二进制，但很多人直接用golang:alpine 镜像运行，导致容器里还带着 Go 工具链和不必要的包——既增大攻击面，又拖慢启动。
正确的做法是：构建阶段用完整 Go 环境编译，运行阶段切到极简环境（如 scratch 或 alpine:latest），并禁用 CGO：
FROM golang:1.22-alpine AS builder WORKDIR /app COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-extldflags "-static"' -o main . <p>FROM scratch COPY --from=builder /app/main /main EXPOSE 8080 USER 65532:65532 CMD ["/main"]
-
CGO_ENABLED=0确保生成纯静态二进制，不依赖 libc -
FROM scratch镜像只有你的二进制，体积通常 < 10MB，无 shell、无包管理器，无法被交互式入侵 -
USER 65532:65532以非 root 用户运行，避免容器逃逸后获得高权限
常见错误：忘了 EXPOSE 8080 或监听地址写成 127.0.0.1:8080 ——Kubernetes Pod IP 是网卡地址，必须监听 0.0.0.0:8080，否则 Service 流量进不来。
Deployment 必须配 readinessProbe + livenessProbe，且路径要真实存在
Kubernetes 不靠“进程是否存活”判断服务健康，而是靠 HTTP 探针。很多 Golang 服务只写了/ 路由，但没暴露 /healthz 或 /readyz，导致探针一直失败，Pod 反复重启。
你的 Go 代码里至少得有：
http.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
w.WriteHeader(http.StatusOK)
w.Write([]byte("OK"))
})
http.HandleFunc("/readyz", func(w http.ResponseWriter, r *http.Request) {
// 可加入 DB 连通性检查等逻辑
w.WriteHeader(http.StatusOK)
w.Write([]byte("ready"))
})对应 Deployment 中：
立即学习“go语言免费学习笔记（深入）”；
readinessProbe:
httpGet:
path: /readyz
port: 8080
initialDelaySeconds: 5
periodSeconds: 5
livenessProbe:
httpGet:
path: /healthz
port: 8080
initialDelaySeconds: 15
periodSeconds: 10关键区别：
-
readinessProbe失败 → Pod 从 Service 的 Endpoint 列表中剔除，不接收新流量 -
livenessProbe失败 → Kubernetes 杀掉容器，触发重启（不是重建 Pod）
别把两者路径设成一样，也别省略initialDelaySeconds：Go 应用冷启动可能要几秒加载配置或连接 DB，探针太早打会误判。
用 ConfigMap/Secret 注入配置，别硬编码或靠命令行参数传敏感信息
Golang 服务启动时，数据库地址、JWT 密钥、日志级别这些，不能写死在代码里，也不能用args: ["--db-url=xxx"] 方式传——前者改配置要重编译，后者在 kubectl describe pod 里明文可见。
推荐组合：
-
ConfigMap存非敏感配置（如LOG_LEVEL=debug,PORT=8080） -
Secret存密码、Token、私钥（base64 编码后存，挂载为文件或环境变量） - Go 代码用
os.Getenv("DB_PASSWORD")或viper.AutomaticEnv()读取
Deployment 片段示例：
env:
- name: PORT
valueFrom:
configMapKeyRef:
name: go-app-config
key: port
- name: DB_PASSWORD
valueFrom:
secretKeyRef:
name: go-app-secrets
key: db-password容易踩的坑：
- Secret 名字写错，Pod 启动报
secret "xxx" not found - 挂载 Secret 时 key 名和 Go 里
os.Getenv的字符串不一致（大小写、下划线） - ConfigMap 更新后，已运行的 Pod 不会自动 reload，需滚动重启（删 Pod 或更新 Deployment 的 annotation 触发）
Golang 服务部署到 Kubernetes 表面是“写 YAML + kubectl apply”，实际成败取决于三个隐性环节：镜像是否真轻量、探针是否真可靠、配置是否真隔离。漏掉任一环，上线后都可能表现为“服务偶尔 503”“扩容后一半 Pod CrashLoopBackOff”“生产环境连不上数据库”——而这些问题，在本地 go run 时根本不会暴露。
