本文详解如何使用 docker 的 `scratch` 基础镜像构建零依赖、超轻量（≈0 mb）容器，仅运行静态编译的 go 可执行文件，并说明权限、路径与调试的关键注意事项。
在容器化 Go 应用时，追求极致精简是常见目标——尤其是部署微服务或 CLI 工具时。Docker 提供了特殊的 scratch 镜像：它不是一个“最小 Linux 发行版”，而是一个完全空白的镜像（无操作系统、无 shell、无 libc、无任何文件）。这意味着你只能运行静态链接、无外部依赖的可执行文件，且必须确保其具备可执行权限、正确入口点和完整路径。
✅ 正确做法：两阶段构建 + scratch 镜像
推荐采用标准的 多阶段构建（multi-stage build），既保证构建环境完备，又确保运行时绝对精简：
# 构建阶段：使用官方 golang 镜像编译 FROM golang:1.22-alpine AS builder WORKDIR /app COPY main.go . # 静态编译：禁用 CGO，确保不依赖系统 libc RUN CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-extldflags "-static"' -o /app/myapp . # 运行阶段：仅含二进制文件的 scratch 镜像 FROM scratch COPY --from=builder /app/myapp /myapp # 必须指定明确的入口点（不能依赖 shell） ENTRYPOINT ["/myapp"]
构建并运行：
docker build -t my-go-app . docker run --rm my-go-app
⚠️ 关键注意事项
- scratch 中没有 bash 或 /bin/sh：docker run -it my-go-app bash 必然失败——这不是 bug，而是设计使然。调试应改用 docker run --rm -v $(pwd):/host my-go-app /bin/sh（不可行）→ 实际应避免在 scratch 中调试，改用 alpine 阶段临时验证，或通过 docker cp 提取二进制本地分析。
- 权限问题（permission denied）：确保编译出的二进制具有可执行位（chmod +x），且 COPY 后未被 Docker 默认 umask 重置；多阶段构建中 COPY --from=builder 会保留权限，通常无需额外处理。
- 动态链接陷阱：若忘记设置 CGO_ENABLED=0，Go 会生成依赖 glibc 的动态可执行文件，在 scratch 中直接报 no such file or directory（实际是找不到 ld-linux-x86-64.so.2）。务必通过 ldd myapp 验证：静态二进制应输出 not a dynamic executable。
- 无法 docker exec 进入 scratch 容器：docker exec -it <container> sh 会失败。如需交互式调试，请改用 FROM alpine:latest 作为运行基础镜像（体积仅 ~5 MB，但含 sh 和 apk）。
? 总结
- scratch 是终极精简方案，适合生产部署，但绝不适合开发或调试阶段；
- 务必使用 CGO_ENABLED=0 静态编译，确保二进制自包含；
- 入口命令必须使用 exec 格式（JSON 数组），避免 shell 解析；
- 初学者建议先用 golang:alpine 或 debian:slim 构建并验证功能，再迁移至 scratch。
最终镜像大小可低至 2–5 MB（取决于 Go 代码逻辑），远小于基于 Alpine（~12 MB）或 Debian（~100 MB）的镜像——这是云原生场景下提升启动速度与安全性的关键实践。
