Docker部署Golang网关需轻量构建、0.0.0.0监听、自定义bridge网络、HTTPS端口映射匹配、健康检查轻量可靠；多阶段构建镜像15–25MB，禁用CGO，仅挂载必要证书，避免host网络与容器内重定向。
用 Docker 部署高性能 Golang 微服务网关，核心在于轻量构建、网络隔离、端口暴露合理、健康可观测，同时避免运行时依赖陷阱。关键不是堆功能，而是让网关启动快、转发稳、扩容易。
用多阶段构建精简镜像
Go 网关二进制天然静态链接，没必要带编译环境进生产镜像。推荐写法：
- 第一阶段用
golang:1.22-alpine编译，务必设置CGO_ENABLED=0 GOOS=linux - 第二阶段用
alpine:latest，只装ca-certificates（HTTPS 调用必需） - 最终镜像通常控制在 15–25 MB，比直接用 golang 镜像小 30 倍以上
监听地址必须是 0.0.0.0，不是 127.0.0.1
网关容器内启动时若绑定 127.0.0.1:8080，会导致：
- 外部请求无法进入（Docker 网络不走 loopback）
- 健康检查失败（
wget http://localhost:8080/health在容器内查的是自己，但实际没监听） - 其他微服务通过 service name 调用时连接被拒
正确写法：启动时显式指定 --addr=0.0.0.0:8080 或代码中用 http.ListenAndServe("0.0.0.0:8080", router)
立即学习“go语言免费学习笔记（深入）”；
使用自定义 bridge 网络实现服务间通信
别用 --network host，它破坏隔离、端口易冲突、Mac/Windows 不一致。推荐做法：
- 创建独立网络：
docker network create --subnet 172.20.0.0/24 my-gw-net - 网关容器启动时指定 IP 和网络：
--network my-gw-net --ip 172.20.0.10 - 后端微服务（如 user、device）也加入同一网络，并分配固定 IP 或用服务名通信
- 网关配置里调用后端地址写成
http://user-service:8000，Docker 内置 DNS 自动解析
HTTPS 终结与端口映射要匹配
若网关需对外提供 HTTPS（比如对接小程序），注意两点：
- Docker 运行时映射 443 端口：
-p 443:443，且确保宿主机 443 未被占用 - 证书文件需挂载进容器（如
-v /path/to/certs:/app/certs），或构建时 COPY 进镜像（适合测试） - Go 代码中启用 TLS 监听：
http.ListenAndServeTLS(":443", "certs/fullchain.pem", "certs/privkey.pem", router)
不建议在容器内做 HTTP → HTTPS 重定向，应由前置 Nginx 或云 WAF 处理。
加健康检查提升编排可靠性
给 Dockerfile 加一行 HEALTHCHECK，便于 Swarm/K8s 判断存活：
- 用
wget --quiet --tries=1 --spider http://localhost:8080/health（Alpine 默认有 wget） - 设
--start-period=45s，留给网关加载路由表、连接 etcd/consul 的时间 - 避免用
curl（Alpine 不自带）、nc（需额外安装）、或检查 DB 连接（太重，应单独探活）
接口 /health 只需返回 200，不做 DB 查询，保持轻量。
