Go项目Docker化核心是静态编译+多阶段构建：第一阶段用golang:1.22-bookworm编译，CGO_ENABLED=0、-ldflags="-s -w"；第二阶段用distroless/static-debian12或scratch，仅COPY二进制，指定--platform确保跨架构兼容。
Go 项目 Docker 化的核心原则：静态编译 + 多阶段构建
Go 程序默认可静态编译，无需运行时依赖 libc 或 Go runtime 环境。这意味着你完全可以用 scratch（空镜像）作为最终基础镜像——这是最安全、最小的起点。但直接用 go build 在宿主机上编译再 COPY 进容器，会污染构建环境、难以复现，也容易因本地 GOOS/GOARCH 不一致导致运行失败。所以必须用多阶段构建，在容器内完成编译。
Dockerfile 必须用多阶段构建（FROM golang:alpine → FROM scratch）
常见错误是只用单阶段（比如直接 FROM golang:alpine 并把二进制和源码一起留下），这会让镜像体积暴增（> 400MB），且暴露编译工具链和源码，存在安全风险。
- 第一阶段（
build）：用golang:alpine或golang:1.22-bookworm（推荐带完整 ca-certificates 的 Debian 基础镜像，避免 HTTPS 请求报x509: certificate signed by unknown authority） - 第二阶段（
final）：用FROM scratch或FROM gcr.io/distroless/static-debian12（更安全，支持调试工具如strace） - 编译时务必加
-ldflags="-s -w"去除调试符号和 DWARF 信息，减小二进制体积 - 确保
COPY --from=build只复制最终二进制，不带/app目录结构或中间文件
FROM golang:1.22-bookworm AS build WORKDIR /app COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux go build -a -ldflags="-s -w" -o /usr/local/bin/myapp . FROM gcr.io/distroless/static-debian12 COPY --from=build /usr/local/bin/myapp /usr/local/bin/myapp EXPOSE 8080 USER nonroot:nonroot ENTRYPOINT ["/usr/local/bin/myapp"]
CGO_ENABLED=0 是默认要求，除非你明确需要 C 依赖
Go 标准库中 net 包在 Linux 上默认使用 cgo 解析 DNS（调用 getaddrinfo）。若设 CGO_ENABLED=0，会 fallback 到纯 Go 实现（netgo），但某些企业内网 DNS 配置（如 SRV 记录、EDNS）可能不被支持。如果你的应用依赖 cgo（比如用了 sqlite3、openssl 或某些硬件加速库），就不能用 scratch，得换用 FROM gcr.io/distroless/cc-debian12 并保留 libc。
- 判断是否启用 cgo：运行
go env CGO_ENABLED，生产构建中应显式设为0（除非有明确需求） - 若必须启用 cgo，构建阶段要用
golang:bookworm（非 alpine），因为 Alpine 的 musl libc 与多数 C 库二进制不兼容 - 启用 cgo 后，
scratch不再适用，最终镜像至少需包含libc和对应动态库（ldd myapp可查依赖）
构建命令要指定平台，避免本地环境干扰
本地开发机可能是 macOS 或 Windows，而目标容器运行在 Linux AMD64/ARM64。不指定平台会导致构建出错或运行 panic（如 exec format error）。Docker Buildx 是唯一可靠方案。
立即学习“go语言免费学习笔记（深入）”；
- 不要用
docker build，改用docker buildx build - 必须加
--platform linux/amd64,linux/arm64（按需扩展） - 加
--load（单平台）或--push（多平台需配合 registry） - 确保 daemon 支持 buildx：运行
docker buildx inspect，若提示no builder instance，先执行docker buildx create --use
docker buildx build \ --platform linux/amd64,linux/arm64 \ --tag myorg/myapp:v1.2.0 \ --load \ .Go 的容器化真正难点不在写 Dockerfile，而在理解「谁在哪个阶段需要什么」——编译器、链接器、libc、DNS 解析路径、用户权限、信号转发，每一步都可能静默失败。最容易被忽略的是：没验证最终镜像里二进制的真实依赖（
ldd 对静态二进制无效，要用 file myapp 看是否 truly static），以及没测试非 x86 架构下的 DNS 行为。 
