首选多阶段构建分离编译与运行：用golang:alpine构建镜像编译二进制，再以scratch或精简alpine为运行时镜像，关闭CGO、静态链接、非root用户，避免体积大、权限高、依赖多等安全与性能问题。
直接在容器里跑 Go 程序，首选 golang:alpine 或 golang:slim 镜像，但别直接用它们当生产运行环境——编译和运行该分开。
为什么不能用 golang:xxx 镜像直接部署？
这些镜像是为开发/构建设计的：体积大（含 gcc、git、完整 Go 工具链），有 root 权限，默认暴露 GOROOT 和 GOPATH，还带调试工具。线上容器应最小化、非 root、无多余依赖。
- 镜像体积常超 900MB（
golang:1.22），而编译后二进制+scratch可压到 10MB 内 -
go run main.go在容器里启动慢，且无法控制编译参数（如-ldflags） - 默认以
root用户运行，违反安全基线
多阶段构建：先编译再搬运
用一个阶段装 Go 编译，另一个阶段只放二进制——这是标准解法。关键点是关闭 CGO、静态链接、指定目标 OS/ARCH。
FROM golang:1.22-alpine AS builder WORKDIR /app COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-extldflags "-static"' -o /usr/local/bin/myapp . FROM scratch COPY --from=builder /usr/local/bin/myapp /myapp EXPOSE 8080 USER 65532:65532 ENTRYPOINT ["/myapp"]
-
CGO_ENABLED=0确保不依赖系统 libc，才能进scratch -
GOOS=linux是必须的，Mac/Windows 构建机上不设这个会出错 -
USER 65532:65532创建非 root 用户（Alpine 默认没nobody组，用数字更稳） - 别漏掉
go mod download单独一层——提升 Docker 构建缓存命中率
运行时镜像选 scratch 还是 alpine？
优先 scratch：零依赖、极致精简、攻击面最小。但代价是没 sh、没日志轮转、没法 exec 进去调试。
立即学习“go语言免费学习笔记（深入）”；
- 需要
curl测健康检查？改用 HTTP 探针，或加alpine并手动删掉不需要的 bin - 程序要读
/etc/resolv.conf或/etc/hosts？scratch默认不带，得COPY进去 - 用了
net/http/pprof或需strace？老实用alpine，并apk add --no-cache strace -
alpine的 musl libc 和 glibc 行为略有差异（比如 DNS 超时逻辑），某些网络库可能表现不同
容器内 Go 程序常见启动失败原因
不是代码问题，往往是容器环境没对齐。最常踩的坑就这几个：
-
standard_init_linux.go:228: exec user process caused: no such file or directory：典型 CGO 没关，动态链接了 host 的 libc -
bind: permission denied：监听0.0.0.0:80但没给容器NET_BIND_SERVICEcap，改用:8080更安全 - 日志刷屏停不下来：Go 默认不缓冲
log输出，Kubernetes 会因 stdout 太快触发限流，加log.SetOutput(os.Stderr)显式控制 - 时区错误显示 UTC：
scratch无/usr/share/zoneinfo，要么 COPY 进去，要么启动时加-e TZ=Asia/Shanghai并用time.LoadLocation
Go 二进制本身很“干净”，但容器环境比本地 IDE 少了太多默认假设——每个 os.Getenv、每个 os.Open、每个 time.Now() 都得重新验证上下文。
