容器内无法访问 go 命令，因生产镜像（如 golang:1.22-alpine 或 distroless）默认不含调试工具；应构建多阶段镜像，在开发阶段用完整 golang 镜像编译并保留 dlv，运行阶段基于 distroless 或 slim 镜像仅拷贝二进制与 dlv，并执行 setcap 'cap_sys_ptrace+ep' /dlv。
容器内无法访问 go 命令？检查基础镜像是否含调试工具
绝大多数生产 Golang 镜像（如 golang:1.22-alpine 或 gcr.io/distroless/static）默认不带 go、dlv、strace 等调试工具，直接 kubectl exec -it pod-name -- go version 会报 command not found。
解决方式不是“临时装包”（Alpine 的 apk add 在只读根或 distroless 下根本不可行），而是提前构建带调试能力的多阶段镜像：
- 开发/调试阶段用
golang:1.22（含完整工具链），编译并保留dlv二进制 - 运行阶段基于
gcr.io/distroless/base-debian12或debian:bookworm-slim，仅拷贝编译好的二进制 +dlv - 关键：给
dlv加上setcap 'cap_sys_ptrace+ep' /dlv（否则无法 attach 进程）
dlv dap 启动失败提示 connection refused？确认端口暴露与安全策略
Kubernetes 默认禁止容器端口被外部直接访问，即使你在容器里跑 dlv dap --listen=:2345，也需显式配置 containerPort 和 securityContext.capabilities.add。
常见遗漏点：
-
containerPort必须和dlv监听端口一致（如2345），且在Podspec 中声明 -
securityContext.capabilities.add: ["SYS_PTRACE"]是dlv attach必需的，否则进程无法注入调试器 - 若使用
Service暴露 dlv 端口，务必设type: ClusterIP并限制podSelector，避免调试端口意外暴露到公网 - 本地 IDE（如 VS Code）连接时，用
kubectl port-forward pod/name 2345:2345，而非直连 ClusterIP
调试时 goroutine 卡死但 CPU 不高？用 dlv attach + goroutines 快速定位
线上 Go 应用响应变慢、HTTP 请求 hang 住，但 top 显示 CPU 很低——大概率是 goroutine 阻塞在 channel、mutex 或网络 I/O 上，而非忙循环。
评估 Kubernetes 集群安全态势，覆盖 RBAC、工作负载安全、网络策略、基础设施即代码（IaC）、运行时监控和密钥管理等 30 项控制项……
此时不要重启 Pod，先 attach 调试器抓现场：
- 执行
kubectl exec -it pod-name -- /dlv attach $(pgrep myapp)（注意替换进程名） - 进入 dlv 交互后，输入
goroutines查看所有 goroutine 状态和堆栈 - 用
goroutines -u过滤用户代码 goroutine，再结合bt（backtrace）看阻塞点 - 特别留意状态为
chan receive、semacquire、select的 goroutine，它们常对应死锁或资源竞争
如果 dlv attach 失败（如 “could not attach to pid”），说明容器未启用 SYS_PTRACE 或进程已崩溃退出。
想看 GC 日志或 pprof 数据？用 http://localhost:6060/debug/pprof/ 但别暴露在 service 中
Go 标准库的 net/http/pprof 是轻量级诊断利器，但直接在生产 service 的 ports 里开放 6060 极其危险。
安全做法是只在调试期间临时启用，并严格限制访问路径：
- 代码中启动 pprof server 时，绑定到
127.0.0.1:6060（非0.0.0.0），避免监听全网卡 - 调试时用
kubectl port-forward pod/name 6060:6060，然后浏览器打开http://localhost:6060/debug/pprof/ - 获取 heap profile：
wget http://localhost:6060/debug/pprof/heap?debug=1 -O heap.txt，再用go tool pprof heap.txt分析 - GC 日志可通过
GODEBUG=gctrace=1环境变量开启，输出到容器 stdout，用kubectl logs实时查看
pprof 的 /goroutine?debug=2 和 /mutex 对排查竞态非常有用，但记得调试完立刻删掉 port-forward，别让端口长期开着。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
