生产环境几乎不直接在deployment中硬编码env value，因其会导致敏感信息明文暴露、无法复用、不可热更新、多环境维护困难；仅适用于ci=true等公开开关或临时调试。
Deployment里直接写env value会出什么问题
生产环境几乎没人这么干——value 字段硬编码敏感信息（比如数据库密码）等于把密钥贴在玻璃窗上。Kubernetes 不会对它做任何保护，kubectl get deploy -o yaml 一眼就能看到全量明文。更麻烦的是：配置无法复用、不能热更新、不同环境要改 YAML 多次。
真正该用 value 的场景只有三个：CI=true 这类 CI/CD 固定开关、LOG_LEVEL=debug 这种完全公开的调试开关、或者临时本地调试用的 ENV=local。
- 值含空格或特殊字符时，YAML 必须加引号，否则解析失败
-
name冲突时后定义的会覆盖前一个（按 YAML 顺序） - 镜像中已有的同名环境变量会被此处值直接覆盖
envFrom 批量导入 ConfigMap 和 Secret 的坑
用 envFrom 看似省事，但实际是“省事一时，排查三天”。它会把整个 ConfigMap 或 Secret 的 key 全部转成环境变量，不加筛选也不报错。
针对 Kubernetes 仪表板和 Web UI 的浏览器自动化。适用于与 Kubernetes Dashboard、Grafana、ArgoCD UI 或其他 Web 界面交互。需要设置 MCP_BROWSER_ENABLED=true。
- ConfigMap 中的 key 必须符合环境变量命名规范（只能字母/数字/下划线，不能以数字开头），否则该 key 被静默跳过，无任何提示
- 如果 ConfigMap 和 Secret 里有同名 key，
Secret的值一定覆盖 ConfigMap 的——这是 Kubernetes 的固定优先级，不是 bug - Pod 启动后，你根本分不清某个
DB_HOST是从哪个 ConfigMap 来的，尤其当 ConfigMap 是外部工具生成、字段名不规范时 - Secret 值虽是 Base64 编码，但
envFrom会自动解码，你代码里不用再调base64.b64decode()（Go 里也一样，os.Getenv()拿到的就是原始字符串）
Go 应用里读环境变量的几个硬性习惯
别信 os.Getenv("XXX") 一定返回字符串——它返回 nil 的概率远比你想象中高，尤其当 ConfigMap key 拼错、Secret 尚未创建、或者 namespace 不一致导致引用失败时。
- 永远带默认值：
os.Getenv("PORT", "8080")，否则后续strconv.Atoi()会 panic - 数值型变量必须显式转换：
port := os.Getenv("PORT"); http.ListenAndServe(":"+port, nil)看似能跑，但一旦PORT缺失，":" + ""就变成":"，监听失败且错误不明显 - 敏感字段（如
MYSQL_PASSWORD）缺失时，应用应快速失败并打印明确日志，而不是静默连空密码数据库 - ConfigMap 和 Secret 必须和 Deployment 在同一 namespace，否则
kubectl describe pod显示的错误是Failed to pull image这类误导信息，实际是 config lookup 失败
推荐的最小可行部署结构
一个 Go 应用上线，至少需要三块 YAML：Secret 存密码、ConfigMap 存主机/端口/开关、Deployment 引用它们。不要试图合并，也不要跳过 ConfigMap 单独用 Secret——非敏感配置进 Secret 属于反模式。
- Secret 创建时，用
kubectl create secret generic mysql-secret --from-literal=username=user --from-literal=password=xxx，避免手写 Base64 - ConfigMap 的 key 名建议全小写+下划线，比如
database_host，和 Go 代码里os.Getenv("DATABASE_HOST")保持一致 - Deployment 中每个
env条目都用valueFrom+configMapKeyRef或secretKeyRef，哪怕只引一个变量——清晰、可审计、易调试 - 如果你用 Helm，
values.yaml里拆开config和secrets两个 section，模板里分别渲染，别混在一起
最常被忽略的一点：ConfigMap 或 Secret 更新后，Pod 不会自动重启——除非你用 kubectl rollout restart deployment/xxx，或者在 Deployment 的 annotation 里加个哈希戳。这点和 envFrom 无关，但所有用 valueFrom 的人都得面对。
