绝大多数情况下用 copy 就够了，add 的自动解压和远程 url 支持在 k8s 场景中易埋坑；健康检查应使用独立轻量端点如 /healthz；内存 limits 应基于观测峰值上浮 20%～30%；环境变量须显式校验，敏感信息通过 secret 注入并设 defaultmode: 0400。
Python服务打包成镜像时，Dockerfile里COPY和ADD怎么选
绝大多数情况下用 COPY 就够了，ADD 带来的自动解压和远程 URL 支持在 K8s 场景里基本是累赘，还容易埋坑。比如 ADD requirements.txt . 看似省事，但若文件路径写错或权限异常，构建会静默失败；而 COPY 更透明、更可控。
实操建议：
- 始终用
COPY --chown=nonroot:nonroot显式设属主，避免容器内因权限问题无法读取代码（尤其用了USER nonroot时） -
requirements.txt单独COPY+pip install，再COPY . .，利用 Docker 层缓存加速重复构建 - 别把
__pycache__、.git、venv打进镜像——用.dockerignore过滤，否则镜像体积虚高、启动变慢
部署到 Kubernetes 时，livenessProbe 和 readinessProbe 的端点该暴露在哪
不要复用应用主服务端口做健康检查。Python Web 框架（如 Flask/FastAPI）默认只暴露一个 HTTP 端口，如果 probe 和业务共用 :8000，一旦请求积压或路由逻辑卡住，K8s 会误判为服务不可用，反复重启 Pod。
正确做法是开一个独立的轻量端点：
Docker Image Puller
下载
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- FastAPI 示例：加个
@app.get("/healthz")，只返回{"status": "ok"}，不查 DB、不走中间件 - Flask 示例：用
flask-healthz包，或手写一个无依赖的/healthz路由 - K8s 配置中，
livenessProbe.httpGet.port设为容器内实际监听的健康端口（如8080），而非主服务端口 - 务必设置
initialDelaySeconds: 10，给 Python 应用冷启动留出时间，否则 Pod 启动一半就被 kill
Deployment 中的 resources 限制设多少才不会 OOM 或被限频
Python 进程内存占用波动大，尤其用 numpy、pandas 或处理大文件时，limits.memory 设太小会导致 OOMKilled；设太大又浪费资源、影响调度。关键不是看“平均内存”，而是看“峰值 RSS”。
实操建议：
- 先不设
limits，用kubectl top pods观察真实负载下内存峰值（单位 MiB），再上浮 20%～30% 作为limits.memory -
requests.memory可设为峰值的 60%～70%，保证调度器能合理分配节点 - CPU 限制慎用：
limits.cpu会触发 Linux CFS throttling，Python GIL 下反而拖慢响应；一般只设requests.cpu（如100m）辅助调度即可 - 加
terminationGracePeriodSeconds: 30，给gunicorn或uvicorn留出优雅退出时间，避免 SIGKILL 强杀 worker
环境变量和密钥怎么安全注入，又不让 config.py 读错位置
别在代码里硬编码 os.getenv("DB_URL", "sqlite:///local.db") 然后指望 K8s 注入失败时 fallback——生产环境 fallback 是陷阱，不是容错。环境变量必须显式校验，缺失就 panic。
推荐方式：
- 用
envFrom+ConfigMap注入非敏感配置（如LOG_LEVEL、API_BASE_URL） - 用
envFrom+Secret注入敏感项（如DB_PASSWORD），Secret 数据会 Base64 解码后注入，无需额外处理 - Python 侧用
os.environ["DB_PASSWORD"]直接读，别封装成全局变量或提前加载——避免 init 阶段就读不到而静默失败 - 在
main.py开头加校验逻辑：if not os.getenv("DB_URL"): raise ValueError("DB_URL required")
git commit SHA 而不是 latest，否则 K8s 无法感知更新；Secret 挂载的文件默认权限是 644，若 Python 进程以非 root 用户运行，可能读不到——得加 defaultMode: 0400 显式控制。Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
