本文详解如何使用 docker 的 `scratch` 基础镜像构建超轻量级容器，仅打包已编译的 go 可执行文件，实现无 shell、无 libc、无冗余依赖的极致精简部署。
在容器化 Go 应用时，最高效、最安全的方式之一是构建完全静态链接的二进制文件，并将其放入 scratch 镜像——Docker 官方提供的空镜像（0 字节基础层）。它不包含 /bin/sh、/usr/bin/env、glibc 或任何系统工具，仅保留你的可执行文件本身。这正是 tianon/dockerfiles/true 示例所采用的模式。
✅ 正确流程（关键四步）
-
本地编译为静态可执行文件
Go 默认支持静态编译（需禁用 CGO）：CGO_ENABLED=0 go build -a -ldflags '-extldflags "-static"' -o myapp .
⚠️ 注意：-a 强制重新编译所有依赖；-ldflags '-extldflags "-static"' 确保最终二进制不依赖外部动态库（如 musl/glibc）。
-
编写极简 Dockerfile（基于 scratch）
FROM scratch COPY myapp /myapp ENTRYPOINT ["/myapp"] # （可选）添加健康检查或环境变量 # HEALTHCHECK --interval=30s --timeout=3s CMD /myapp --health
❌ 错误示例：COPY true.go . → scratch 中无 Go 编译器；RUN chmod +x → 无 shell；CMD ["bash"] → bash 根本不存在。
-
构建并运行
docker build -t my-go-app . docker run --rm my-go-app
-
验证镜像大小与内容
docker images my-go-app # 通常仅 2–6 MB（取决于 Go 代码规模） docker run --rm -it my-go-app ls -l / # 仅显示 /myapp（无 /bin, /etc, /usr）
? 为什么你遇到那些错误？
- exec: "/true": permission denied → 文件未设可执行位？但更可能是：你在容器内尝试运行未正确编译的二进制（如启用了 CGO，导致依赖主机 libc）。
- bash: executable file not found in $PATH → scratch 镜像中根本不存在 bash 或任何 shell。这是设计使然，不是缺陷。
- debootstrap raring ... → 这是在构建 Debian rootfs，与 scratch 路线完全相悖，引入了数百 MB 的冗余系统。
? 实用建议与权衡
| 场景 | 推荐基础镜像 | 说明 |
|---|---|---|
| 生产部署（追求安全 & 极致轻量） | scratch | 镜像最小、攻击面最小，但调试困难（无 shell、无 strace、无 curl） |
| 开发/调试阶段 | golang:alpine 或 debian:slim | 内置 sh、apk/apt、strace、netcat，便于排查网络、权限、挂载等问题 |
| 需要 ca-certificates（HTTPS 调用） | scratch + COPY 证书 | FROM scratch → COPY /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ |
? 安全提示：静态编译的 Go 程序默认不加载外部配置，但若使用 os/exec 调用外部命令（如 sh -c），将彻底失败——这反而是安全优势：杜绝了 shell 注入和未知依赖风险。
✅ 总结
scratch 不是“问题”，而是 Go 容器化的理想终点。它的不可登录、无 shell 特性，恰恰成就了最小可信计算单元。初学者可先用 golang:alpine 构建并验证逻辑，再切换至 scratch 发布生产镜像。记住核心原则：容器 ≠ 虚拟机；它只应运行一个进程，且该进程必须是自包含的静态二进制。
