关键在于最终镜像仅含静态、无符号二进制文件：第一阶段用golang:alpine（非debian版）隔离构建，先COPY go.mod/go.sum并go mod download，再COPY精简源码，执行CGO_ENABLED=0 go build -a -ldflags '-s -w' -o myapp .；第二阶段直接FROM scratch，仅COPY二进制、设非root USER，并显式提供证书或DNS配置。
关键不是换基础镜像，而是让最终镜像里只有一份干净、静态、无符号的二进制文件——其他全是干扰项。
第一阶段：构建必须轻量且彻底隔离
用 golang:alpine（不是 latest 或 debian 版）作为 builder 镜像，它默认 CGO_ENABLED=0，体积小、攻击面少。只做三件事：
- COPY
go.mod和go.sum，先go mod download，避免后续 COPY 源码时缓存失效 - 再 COPY 其余代码，不带
vendor/、testdata/、.git/或任何非运行必需文件 - 编译命令必须带完整参数：
CGO_ENABLED=0 go build -a -ldflags '-s -w' -o myapp .
其中 -a 强制重编译所有依赖，-s -w 剥离符号表和调试信息，合起来可减 30%–50% 体积。
第二阶段：运行环境必须真正“空”
不用 alpine，直接上 scratch —— 它是 Docker 官方提供的零字节基础镜像，连 /bin/sh 都没有。这是压到 10MB 内的核心前提。
-
FROM scratch后，只COPY --from=builder /app/myapp /myapp，别拷配置文件、证书或日志目录 - 必须设
USER 65532:65532（非 root），因为 scratch 里没有/etc/passwd，无法解析用户名 - 如果应用需要读取
/etc/ssl/certs或/etc/resolv.conf，得在启动前挂载或通过COPY显式提供，不能依赖镜像自带
验证是否真精简
光看 docker images 的大小会误判。要确认三点：
- 执行
docker run --rm your-image ldd /myapp，输出应为not a dynamic executable - 用
file /myapp检查，显示statically linked，且不含debug字样 - 实际运行时，不报
no such file or directory或exec format error，说明没漏掉 musl/glibc 兼容问题
常见踩坑点
这些操作看似微小，但一个出错就让镜像重回百兆级：
- builder 阶段用了
golang:1.22（debian 版），哪怕加了CGO_ENABLED=0，镜像层仍含完整系统工具链 - 运行阶段用了
alpine却没装ca-certificates，HTTPS 请求失败，被迫回退加包 -
COPY --from=builder时路径写错，比如漏掉/app/前缀，结果复制失败，Dockerfile 静默跳过，最终镜像为空 - Go 项目用了
net/http/pprof或expvar等反射-heavy 包，未加-gcflags="all=-l"关闭内联，体积多出 2–3MB
