go 默认静态链接大部分代码，但 net/http 依赖 cgo（如 dns 解析、tls 证书验证），导致二进制动态链接 libc 等系统库；在精简环境（如 busybox）中因缺少共享库而报 “not found” 错误。需禁用 cgo 或强制静态链接。
Go 的 net/http 包看似纯 Go 实现，实则底层深度依赖 CGO：它通过 cgo 调用系统 DNS 解析器（如 getaddrinfo）、访问主机 TLS 证书存储（如 /etc/ssl/certs）、读取用户环境（如 $HOME）等。一旦启用 CGO（默认开启），Go 构建器会生成动态链接的二进制，依赖目标系统存在 libc、libpthread 等共享库——而这正是 BusyBox 容器（通常仅含 musl libc 或极简 glibc 子集）无法运行 ./hello_world 的根本原因。
✅ 正确解决方案是完全禁用 CGO 并确保静态链接：
CGO_ENABLED=0 go build -a -ldflags '-s -w' -o hello_world .
- CGO_ENABLED=0：强制禁用所有 CGO 调用，Go 运行时自动回退到纯 Go 实现（如 net 包内置的 DNS 解析器 netgo，以及基于 crypto/tls 的证书验证）；
- -a：重新编译所有依赖包（确保无残留 CGO 代码）；
- -ldflags '-s -w'：剥离调试符号与 DWARF 信息，减小体积；
- 输出二进制完全静态，不依赖外部 .so，可直接在 BusyBox、Alpine Linux 等最小化环境中运行。
⚠️ 注意事项：
- 禁用 CGO 后，DNS 解析将使用 Go 自带的 netgo resolver（需确保 GODEBUG=netdns=go，该行为自 Go 1.8 起为默认）；
- TLS 证书验证将依赖 Go 内置的 x509.SystemRoots（从 crypto/tls 加载 PEM 格式根证书），若需信任系统证书，应通过 GODEBUG=x509ignoreCN=0 或显式设置 http.DefaultTransport.(*http.Transport).TLSClientConfig.RootCAs；
- 若必须保留部分 CGO 功能（如高性能 DNS），可改用 musl 工具链交叉编译 + 静态链接：
CC=musl-gcc CGO_ENABLED=1 go build -ldflags "-linkmode external -extldflags -static" -o hello_world .
（需提前安装 musl-tools，且确保目标环境兼容 musl libc）
? 总结：面向分发的 Go Web 服务，优先使用 CGO_ENABLED=0 构建——它简单、可靠、零依赖，完美适配容器化与嵌入式场景。只有在明确需要系统级特性（如 NSS 模块集成）时，才考虑复杂静态 CGO 方案。
