根本原因是动态链接器缺失，而非文件不存在；distroless镜像不包含标准libc路径和shell，需通过readelf或patchelf获取并显式复制对应架构的解释器到镜像中。
为什么 distroless 镜像构建失败时，ldd 查不到依赖却仍报 No such file or directory
根本原因不是文件缺失，而是动态链接器（/lib64/ld-linux-x86-64.so.2 等）没被显式复制进镜像。Distroless 不带 shell、不带 ldd、甚至不带标准 libc 路径结构——它只留二进制和它**直接声明的依赖路径**。
实操建议：
- 用
readelf -d your-binary | grep 'program interpreter'查真实解释器路径，比如输出[Requesting program interpreter: /lib64/ld-linux-x86-64.so.2]，这个路径必须在镜像里存在且可读 - 别依赖
cp /lib64/ld-linux-*——不同 glibc 版本路径可能不同；应从构建机用patchelf --print-interpreter获取，并连同解释器一起拷入镜像指定位置 - Go 静态编译二进制可跳过此问题，但启用
cgo后默认变动态链接，需显式加CGO_ENABLED=0
Chainguard Images 的 glibc 和 musl 变体怎么选，libc 兼容性坑在哪
Chainguard 提供 glibc（如 cgr.dev/chainguard/static:latest）和 musl（如 cgr.dev/chainguard/wolfi-base:latest）两类基础镜像，区别不在“大小”，而在 ABI 层级兼容性。
实操建议：
- 用
file your-binary看链接类型：含GNU/Linux标识 → 依赖 glibc；含musl或statically linked且无 interpreter → 可跑 musl 镜像 - Python、Node.js 官方多架构镜像底层用 glibc，若换 Chainguard 的 musl 基础镜像，会因
libresolv.so缺失导致 DNS 解析失败（getaddrinfo返回EAI_AGAIN） -
chainguard-images/python:3.12是 glibc 版，而wolfi-python是 musl 版——名字不带 wolfi 的基本都是 glibc
从 debian:slim 迁移时，/etc/passwd 和 USER 指令失效怎么办
Distroless / Chainguard 镜像默认不带 /etc/passwd，USER 1001 会静默失败，容器以 root 运行，且 os/user.LookupId 等调用直接 panic。
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
实操建议：
- 不要写
USER 1001，改用USER 1001:1001（指定 gid），并确保二进制本身支持无 passwd 运行（如 Go 程序用syscall.Setuid(1001)替代用户查找） - 需要
/etc/passwd时，用RUN echo 'app:x:1001:1001::/home/app:/bin/sh:/usr/sbin/nologin' > /etc/passwd手动注入最小条目（注意：Chainguard 的static镜像不含/bin/sh，所以/sbin/nologin更安全） - Kubernetes 中用
runAsUser+fsGroup强制降权，比镜像内USER更可靠
docker build --platform linux/amd64 构建出的二进制，在 arm64 distroless 镜像里运行报错
平台不匹配不是“跑不了”，而是动态链接器或系统调用 ABI 不兼容——比如 x86_64 二进制硬编码了 syscalls 号，ARM64 内核不认。
实操建议：
- 构建阶段必须与目标镜像平台一致：
docker build --platform linux/arm64+FROM cgr.dev/chainguard/static:latest@sha256:...arm64 - Chainguard 镜像 tag 后缀如
-arm64或 digest 含arm64字样才可信；:latest默认是 amd64，多平台需显式拉取对应 digest - 交叉编译 Go 时，除了
GOOS=linux GOARCH=arm64，还要确认CGO_ENABLED=0，否则本地gcc生成的 amd64 object 会被悄悄混入
最常被忽略的是：镜像 digest 和二进制平台必须严格对齐，差一个字节的 syscall 表都可能让进程卡在 execve 返回 ENOENT 而不是更明确的错误。
