Node应用迁移K8s遇权限拒绝：误绑定Service IP而非Pod IP

问题根源 #

你的Node应用启动时尝试绑定K8s Service的虚拟IP（10.105.58.16）而非Pod自身IP，触发listen EACCES权限拒绝错误，核心原因：

• 当Service存在时，K8s会向Pod注入Service相关环境变量，你的应用配置模块（config）误将这些变量解析为监听地址，而非单纯的端口号。
• Pod内进程无权限绑定集群级别的Service虚拟IP（该IP不属于Pod的网络栈），导致绑定失败。
• 删除Service后，相关环境变量消失，应用读取到正确端口值，绑定Pod自身IP即可正常启动。

解决方案 #

1. 强制应用绑定Pod所有网卡（推荐） #

修改startServer函数，明确指定监听地址为0.0.0.0（覆盖Pod所有可用IP），同时确保端口为纯数字类型：

async function startServer(): Promise<void> {
  await createUncreatedTables();
  Log.info(`Right before catastrophe`);
  // 确保端口为数字类型，指定监听0.0.0.0
  const port = parseInt(config.get("port"), 10);
  app.listen(port, '0.0.0.0', async () => {
    Log.info(`The ------------- is listening to ${port}`);
    while (! await dbConfigured()) {
      await new Promise((r) => setTimeout(r, 60 * 1000));
      await createUncreatedTables();
    }
    Log.info("DB configuration confirmed")
    Log.info("------------ Initialization Complete");
  });
}

2. 锁定端口配置，避免环境变量干扰 #

在Deployment的容器配置中明确设置PORT环境变量，覆盖K8s注入的异常变量：

spec:
  template:
    spec:
      containers:
      - name: your-app-container
        image: your-image:tag
        env:
        - name: PORT
          value: "8989"
        ports:
        - containerPort: 8989
          name: http
          protocol: TCP

3. 检查配置模块的环境变量读取规则 #

如果你使用node-config类配置库，检查配置文件（如config/default.json），确保port字段的取值逻辑不会误读Service相关环境变量（如{SERVICE_NAME}_SERVICE_HOST或{SERVICE_NAME}_SERVICE_PORT），避免通配式读取所有环境变量。

验证步骤 #

1. 应用修改后重新部署Deployment和Service。
2. 查看Pod日志，确认应用监听地址为0.0.0.0:8989而非Service IP。
3. 进入Pod执行echo $PORT，确认端口值为8989。

内容的提问来源于stack exchange，提问作者AttackCondor