Go编译的Docker镜像体积大，主因是二进制默认含调试符号（.debug_*段），需用go build -ldflags="-s -w"彻底清除；多阶段构建应只COPY二进制及必要文件，慎用scratch并验证静态链接与隐性依赖。
为什么 Go 编译出的 Docker 镜像还是 20MB+？
不是代码太大，是默认编译产物自带调试符号、反射信息和 DWARF 数据——哪怕你用了 CGO_ENABLED=0，二进制里仍藏着几百 KB 的 .debug_* 段。
-
go build -ldflags="-s"只删符号表，readelf -S your-binary仍能看到.debug_*段 - 必须加
-w一起用：go build -ldflags="-s -w"才真正清空调试信息，体积通常降 30%~50% - 如果项目间接依赖 libc（比如调了
user.Lookup或用了某些 net 包），CGO_ENABLED=0不写死，编译器可能悄悄启用 cgo，导致最终二进制动态链接
多阶段构建怎么写才不带多余文件？
核心就一条：构建阶段只产出二进制，运行阶段只收二进制。中间任何源码、go.mod、vendor、测试文件、.git 目录，都别 COPY 过去。
- 第一阶段用
golang:1.23-alpine或golang:1.23-slim，别用latest——tag 不固定会让 CI 构建结果不可复现 - 第二阶段优先选
scratch，但得确认程序没隐性依赖：file ./myapp输出含statically linked才算安全 -
COPY --from=builder必须写绝对路径，例如COPY --from=builder /app/main /app/main，不能写./main - 如果程序读
embed.FS或本地配置，得在 builder 阶段一并COPY到目标路径，并在 final 阶段保留相同目录结构
用 scratch 运行时为啥报 no such host 或 no such file or directory？
这不是代码 bug，是 scratch 镜像空得连 /etc/resolv.conf、/etc/passwd、/dev/urandom 都没有。
- DNS 失败（
lookup example.com: no such host）：因为缺/etc/resolv.conf和/etc/nsswitch.conf；换alpine:3.19就能跑通 -
os/user.Lookuppanic：因为缺/etc/passwd；改用os.Getuid()+ 环境变量传用户名更可靠 - HTTPS 请求报
x509: certificate signed by unknown authority：因为scratch没证书；要么手动COPY证书 bundle 到/etc/ssl/certs/ca-certificates.crt，要么换gcr.io/distroless/base - 启动失败报
no such file or directory：大概率是动态链接，ldd ./myapp在容器里执行，输出not a dynamic executable才对
怎么验证最终镜像真的“干净”？
别信 docker images 显示的 SIZE，那包含所有层缓存；也别只 docker run -it image ls 看个表面——得解压 rootfs 看实际内容。
立即学习“go语言免费学习笔记（深入）”；
- 用
docker save myimage | tar -t | head -20快速看顶层文件列表 - 用
docker save myimage | tar -xO > image.tar && tar -tf image.tar | grep -E "(go\.mod|\.git|test|vendor)"检查有没有误带源码或中间产物 - 进容器执行
ls -l /etc确认有没有resolv.conf、ssl/certs等必需配置 - 如果用了
embed.FS，记得在 final 阶段RUN ls -R /app/static（假设你 embed 的路径是static/）验证文件是否真存在
/proc 下的 CPU 信息。这些不会在本地 go run 报错，却会在 scratch 里突然崩掉。 
