用 FROM scratch 构建 Go 应用需静态编译（CGO_ENABLED=0、-ldflags '-extldflags "-static"'）、验证 file/ldd 结果，Dockerfile 仅 COPY 和 exec 格式 ENTRYPOINT，补充证书/时区需手动加载，调试宜先用 alpine 验证。
用 FROM scratch 构建 Go 应用是实现镜像极致精简的有效方式，前提是 Go 程序必须静态编译、不依赖外部动态库（如 libc）、且不需额外文件（如证书、配置等）。
确保 Go 程序完全静态链接
Go 默认使用 CGO，会动态链接 libc；而 scratch 镜像空无一物，连 /lib/ld-musl 或 /lib64/ld-linux-x86-64.so.2 都不存在。必须禁用 CGO 并显式启用静态链接：
- 构建时设置环境变量：
CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-extldflags "-static"' -o myapp . -
-a强制重新编译所有依赖（含标准库），避免隐式动态链接 -
-ldflags '-extldflags "-static"'是关键，确保链接器以纯静态模式工作（尤其在某些 Go 版本中仅-a不够） - 验证是否静态：运行
file myapp，输出应含statically linked；再用ldd myapp检查，应显示not a dynamic executable
Dockerfile 写法要极简且安全
基于 scratch 的 Dockerfile 不能有 COPY 以外的多余指令，也不支持 shell 形式 ENTRYPOINT/CMD：
- 基础结构如下：
FROM scratch COPY myapp /myapp ENTRYPOINT ["/myapp"]
-
COPY必须指定绝对路径目标（/myapp），因为scratch没有默认工作目录 - 务必用 exec 格式（方括号语法）写
ENTRYPOINT或CMD，否则容器启动失败（scratch没有/bin/sh） - 如需传参，用
CMD ["--port=8080"]配合ENTRYPOINT，或直接合并到ENTRYPOINT
处理常见依赖项（证书、时区、配置）
scratch 镜像不含 /etc/ssl/certs、/etc/localtime 等，Go 程序若发起 HTTPS 请求或调用 time.LoadLocation 可能失败：
-
证书问题：可将主机 CA 证书（如
/etc/ssl/certs/ca-certificates.crt）COPY 进镜像，并在代码中通过rootCAs.AppendCertsFromPEM加载；或使用golang.org/x/net/http2+ 自定义http.Transport -
时区问题：COPY 宿主机的
/usr/share/zoneinfo/Asia/Shanghai到镜像中，代码里用time.LoadLocationFromBytes加载二进制内容；或直接设环境变量TZ=Asia/Shanghai（部分 Go 版本支持） -
配置文件：若程序需读取 config.yaml，需提前
COPY config.yaml /config.yaml，并在代码中硬编码路径或通过ENV CONFIG_PATH=/config.yaml传入
调试与验证技巧
由于 scratch 无法 exec 进去，调试需前置准备：
- 构建阶段先用
FROM alpine:latest验证程序能否正常运行，再切回scratch - 在最终镜像中加入最小健康检查：比如让程序启动后监听
/healthz，用curl --head http://localhost:8080/healthz测试 - 用
docker run --rm -it <image> sh</image>尝试进入——会报错，这反而是正确信号；若提示executable file not found，说明二进制未静态链接或路径错误 - 用
docker image ls -s对比大小：典型静态 Go 二进制 +scratch镜像常为 5–12MB，远小于基于alpine（~15MB 起）或debian（~100MB+）的镜像
