多阶段构建是优化Go微服务镜像最主流方式，核心为分离编译与运行环境：依赖缓存阶段预下载go.mod/go.sum提升CI稳定性；构建阶段用golang:alpine+CGO_ENABLED=0/GOOS=linux静态编译；运行阶段选用scratch/alpine/distroless等最小基础镜像，仅复制二进制、CA证书及必要配置文件。
直接用多阶段构建，把编译环境和运行环境彻底分开，是目前最主流、最稳妥的 Go 微服务镜像优化方式。核心就三点：只保留二进制文件、剔除所有构建工具、选最小可用的基础镜像。
分清三个关键阶段：缓存、构建、运行
一个合理的多阶段流程不是简单切两段，而是按职责拆解：
- 依赖缓存阶段：单独拉取 go.mod 和 go.sum，用独立的 WORKDIR 运行 go mod download。这样改代码不会触发依赖重下，CI 构建更稳定
- 构建阶段：基于完整 Go 环境（如 golang:1.25-alpine），复制源码，设置 CGO_ENABLED=0、GOOS=linux、GOARCH=amd64（或 arm64）做静态编译，输出干净二进制
- 运行阶段：从 scratch 或 distroless 镜像起步，只 COPY 二进制、必要配置（如 config/、migrations/）、CA 证书（若需 HTTPS 调用外部服务）
务必关闭 CGO 并指定目标平台
Go 默认启用 CGO，会动态链接 libc，导致运行时依赖系统库——这和“轻量运行镜像”冲突。必须显式禁用：
- 在构建阶段 RUN 指令中加入 CGO_ENABLED=0
- 同时明确指定 GOOS=linux（避免 macOS/Windows 编译产物）
- 根据部署环境加 GOARCH=amd64 或 GOARCH=arm64，防止架构不匹配启动失败
运行镜像选 scratch 还是 alpine？看实际需求
两者适用场景不同，别盲目追求最小：
立即学习“go语言免费学习笔记（深入）”；
- scratch：真正零依赖，体积最小（≈2–5MB），但无 shell、无日志轮转、无调试能力。适合纯 HTTP 服务且已通过充分测试
- alpine:latest：自带 apk 和 sh，可临时进容器查问题；体积约 5–7MB；需额外 RUN apk add ca-certificates tzdata 支持 HTTPS 和时区
- distroless/static-debian12：Google 官方维护，比 scratch 多基础证书和 glibc 兼容层，比 alpine 更安全（无包管理器），适合需要 TLS 但又不想暴露 shell 的场景
别漏掉这些小但关键的文件
最终镜像看似只放一个二进制，但实际运行常依赖几样东西：
- /etc/ssl/certs/ca-certificates.crt：否则调用 HTTPS 接口会报 x509 certificate signed by unknown authority
- 配置目录（如 /config）：用 COPY --from=builder 显式复制，不要在运行阶段挂载 host 配置——破坏镜像不可变性
- 迁移脚本或模板文件（如 /migrations）：如果服务启动时自动执行 DB migration，这些也得一起带过去
