go适合写devops工具因其编译快、无依赖二进制和天然并发模型，但需注意日志、错误传播、信号处理等细节：os/exec中要区分同步（output/combinedoutput）与异步（start/wait）执行；fsnotify需手动递归监听并去重事件；http服务需用goroutine处理长任务并避免responsewriter并发写；敏感信息禁用query参数；cgo_enabled=0影响dns和证书验证，企业环境需开启cgo并配置ca-certificates。
Go 适合写 DevOps 工具，不是因为语法多酷，而是它编译快、二进制无依赖、并发模型天然贴合任务调度——但直接上手写 CI/CD 脚本或部署器，容易在日志、错误传播、信号处理这些地方翻车。
用 os/exec 调用 shell 命令时，别忽略 cmd.CombinedOutput() 和 cmd.Start() 的区别
很多工具卡在“命令执行了但没拿到输出”或“进程卡死”，本质是没区分同步 vs 异步执行场景：
-
cmd.Output()或cmd.CombinedOutput()是阻塞调用，适合大多数 CLI 封装（比如调git clone、docker build），但必须检查err—— 即使命令退出码非 0，CombinedOutput()仍会返回 stdout/stderr 内容，错误只藏在err里 - 用
cmd.Start()+cmd.Wait()才能做异步控制（比如超时杀进程、实时流式读取日志），但必须手动设cmd.Stdout/cmd.Stderr为io.Writer，否则输出直接丢弃 - 别用
shell -c "xxx && yyy"拼接复杂逻辑：Go 不解析 shell 语法，sh -c启动后父进程就失去对子命令的细粒度控制（比如无法单独 killyyy）
用 fsnotify 监听文件变更时，注意递归监听和事件去重
DevOps 工具常需响应代码变更自动构建，但 fsnotify 默认不递归，且编辑器保存可能触发多次 WRITE + CHMOD 事件：
- 用
watcher.Add("path")只监听单层目录；要递归，得自己遍历子目录并逐个Add，或改用封装库如github.com/fsnotify/fsnotify的RecursiveWatcher（非官方，但更稳） - VS Code、vim 等编辑器保存时会先写临时文件再 rename，触发
CREATE+WRITE+CHMOD多次事件；建议对事件加时间窗口去重（比如 100ms 内只处理最后一次WRITE） - Linux 下 inotify 有句柄数限制，默认 8192；大量文件监听时，
watcher.Add()可能报too many open files，需提前调大/proc/sys/fs/inotify/max_user_watches
用 net/http 暴露简单 API 时，别直接用 http.ListenAndServe 处理长任务
写个轻量 webhook 接收器或健康检查端点很常见，但忘了 HTTP handler 是阻塞的，一个慢请求会拖垮整个服务：
立即学习“go语言免费学习笔记（深入）”；
- 长耗时操作（如拉镜像、跑测试）必须丢进 goroutine，但要注意：goroutine 中不能直接写
http.ResponseWriter，否则 panic；应先resp.WriteHeader(202)返回 Accepted，再异步执行 - 用
context.WithTimeout包裹 handler，防止客户端不关连接导致 goroutine 泄漏；尤其 webhook 场景下，第三方调用方网络不可控 - 别把敏感信息（如 token、密钥）放 query 参数里传给
/deploy?env=prod&token=xxx—— 日志、代理、浏览器历史都可能泄露；改用 POST + JSON body + header 认证
交叉编译和静态链接的坑：CGO_ENABLED=0 不是万能解
Go 编译成单二进制确实方便分发，但某些功能依赖 CGO（比如 DNS 解析、SSL 根证书）：
-
CGO_ENABLED=0 go build能生成纯静态二进制，但net包会 fallback 到 Go 自实现的 DNS 解析器（不走系统/etc/resolv.conf），且无法验证某些私有 CA 证书 - 若工具需调用企业内网 HTTPS 接口或依赖系统 DNS 配置，必须开 CGO：
CGO_ENABLED=1 go build，并确保目标机器有libc和证书路径（如/etc/ssl/certs/ca-certificates.crt） - Docker 构建时，Alpine 镜像默认没
ca-certificates包，CGO_ENABLED=1编译的二进制跑起来会报x509: certificate signed by unknown authority；得在 Dockerfile 里加apk add ca-certificates
真正难的不是写功能，而是让工具在别人的机器上安静运行：信号怎么转发、日志怎么分级、失败时是否重试、重试几次、凭啥认为这次成功了——这些细节不埋好，自动化就变成定时炸雷。
