ack上运行go应用需用多阶段dockerfile：第一阶段用golang:1.21-alpine编译，加cgo_enabled=0 goos=linux go build -a -ldflags '-s -w' -o app ./cmd/api；第二阶段用alpine:latest或distroless/static，cmd["./app"]用绝对路径，禁用shell和动态库依赖。
直接用 kubectl apply -f deployment.yaml 就能部署，但前提是镜像已推到私有仓库、ACK集群已连通、RBAC权限已配好——缺一不可。
怎么写一个能在ACK上跑的Go应用Dockerfile
ACK对镜像体积和安全性敏感，别用 golang:latest 直接构建，也别漏掉 CGO_ENABLED=0 和 GOOS=linux：
- 必须用多阶段构建：第一阶段用
golang:1.21-alpine编译，第二阶段用alpine:latest或distroless/static运行 - 编译命令里加
CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-s -w' -o app ./cmd/api，去掉调试符号、禁用cgo、确保静态链接 - 运行阶段别装
curl或sh——ACK默认禁止特权容器，且 distroless 镜像没 shell，CMD ["./app"]必须是绝对路径可执行文件 - 如果用了
net/http/pprof或需要信号处理，确认没依赖 glibc 动态库（否则 distroless 会报No such file or directory）
Deployment配置里哪些字段ACK特别看重
ACK不是纯开源K8s，它会对某些字段做校验或自动注入，比如资源限制、健康探针、节点亲和性：
Kubernetes Security Posture Scorecard
下载
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
-
resources.limits和requests必须显式声明，否则 ACK 控制台可能拒绝部署，或调度失败（尤其在 auto mode 节点池中） -
livenessProbe和readinessProbe的httpGet.path推荐用/healthz或/readyz，避免和业务路由冲突；initialDelaySeconds别设太小，Go 应用冷启动可能超 5 秒 - 若使用 ACK auto mode 节点池，建议加
nodeSelector或tolerations显式指定 GPU/ARM 节点类型，否则可能被调度到不兼容的实例上 - 别在
env里硬编码密码——ACK 控制台会扫描Secret引用，若用value: "xxx"会被标为高风险
怎么让ACK集群识别你的私有镜像仓库
ACK本身不托管镜像，它只拉取；所以镜像必须可访问，且拉取凭据必须正确定义：
-
阿里云ACR镜像：用
imagePullSecrets指向一个Secret，该Secret类型为kubernetes.io/dockerconfigjson，内容是~/.docker/config.jsonbase64 编码后填入.dockerconfigjson字段 - 非ACR镜像（如自建Harbor）：除了
imagePullSecrets，还需确认 ACK 集群节点安全组放行对应端口（默认5000或443），且节点能 DNS 解析到仓库域名 - 如果你用的是云效 AppStack，
image字段推荐写成{{ .AppStack.image.goApp }}占位符，部署时自动替换，避免 YAML 里写死 tag 导致回滚困难 - 镜像 tag 别用
latest——ACK 不禁止，但控制台部署历史里无法追溯真实镜像 digest，排障时容易误判
对接ACK后最容易被忽略的三件事
不是部署成功就完事了。ACK 的可观测性链路、网络策略、组件升级节奏，都和本地 minikube 或 kind 完全不同：
- ACK 默认关闭
ServiceAccount自动挂载 token，如果你的 Go 应用要调 K8s API（比如 list pod），得手动加automountServiceAccountToken: true并绑定 RBAC 规则 - ACK 集群启用 NetworkPolicy 后，
ClusterIPService 默认不通外网——哪怕你写了type: LoadBalancer，也要确认 SLB 已创建、监听器已启用、后端服务器组已注册 - ACK 控制台里的“组件管理”页面会提示
nginx-ingress-controller、ack-kruise等组件版本是否过期；老版本可能不支持新写的Ingressannotation（比如灰度用的nginx.ingress.kubernetes.io/canary-by-header），升级前务必查兼容矩阵
