本质是容器启动后立即退出，因scratch镜像无shell、libc等运行时依赖，仅能运行静态二进制；动态链接程序会静默失败。需验证基础镜像、检查ldd依赖，并通过静态编译或改用distroless镜像解决。
编译产物在极致精简（0 字节）镜像中“运行丢失”，本质不是镜像没启动，而是容器启动后立即退出、无日志、无进程——因为这类镜像（如 scratch 或手动清空的 FROM scratch 镜像）不带 shell、libc、动态链接器等任何运行时依赖，仅能运行静态编译的二进制文件。一旦你的程序是动态链接的、依赖 glibc 或 musl、或含未打包的资源（配置、证书、so 文件），就会静默失败。
确认是否真为“0 字节镜像”问题
先验证镜像实际内容和程序依赖：
- 运行
docker inspect your-image | jq '.Config' | grep -i 'scratch\|empty'，确认基础镜像是scratch或为空 - 本地用
ldd your-binary检查二进制是否静态链接；若输出含not a dynamic executable才安全 - 若输出显示
libc.so.6等路径，说明它依赖动态库——scratch镜像里根本不存在
修复编译产物的运行兼容性
让程序能在 scratch 镜像中真正跑起来，核心是“去依赖”：
-
Go/Rust 程序：编译时加
-ldflags '-extldflags "-static"'（Go）或确保target = "x86_64-unknown-linux-musl"（Rust + musl target），生成纯静态二进制 -
C/C++ 程序：用
gcc -static -o myapp main.c编译；避免使用glibc特有函数（如getaddrinfo_a），改用 musl 兼容接口 -
其他语言（如 Python/Node）：不要往
scratch里塞解释器——改用FROM python:slim或node:alpine；若坚持零依赖，需用 PyInstaller +--onefile --static（仍需验证 libc 兼容性）
验证与调试技巧
即使二进制声称“静态”，也可能因系统调用或内核特性失败：
- 临时换用
FROM alpine:latest运行，执行strace -f ./your-binary，看是否卡在openat("/etc/resolv.conf")或connect()等系统调用 - 在
scratch镜像中添加最小调试层：RUN echo '#!/bin/sh' > /debug.sh && echo 'ls -la / && cat /proc/self/cmdline' >> /debug.sh && chmod +x /debug.sh，再ENTRYPOINT ["/debug.sh"]查看挂载和路径 - 检查容器退出码：
docker run --rm your-image || echo "exit code: $?"；127 表示找不到命令（路径错），126 表示权限问题，1 表示程序崩溃
替代方案：轻量但可靠的基底
除非合规强要求 0 字节，否则推荐更务实的选择：
-
FROM gcr.io/distroless/static-debian12：Google Distroless 提供的真正无 shell、无包管理器、仅含必要内核模块和 ca-certificates 的镜像，支持大多数静态二进制 -
FROM cgr.dev/chainguard/static:latest：Chainguard 的极简镜像，基于 Wolfi OS，比scratch多/dev/null、/proc挂载和基础 DNS 支持，几乎零体积增量但大幅提升兼容性 - 保留
scratch，但显式注入必需文件：如需 DNS 解析，COPY etc/resolv.conf /etc/resolv.conf；需 TLS 证书，COPY ssl/certs/ca-bundle.crt /etc/ssl/certs/ca-bundle.crt
