不能用单阶段 Dockerfile 直接运行 Go 服务，因为 golang:latest 是调试镜像，打包完整工具链致镜像超 900MB、默认 root 权限违规、缺失 ca-certificates/tzdata/resolv.conf 导致 HTTPS/DNS/时区失败，且未禁用 CGO 会引发运行时 panic。
直接用 golang:latest 构建并运行 Go 应用容器，90% 的情况下会导致镜像超大、权限失控、TLS 失败或 DNS 解析失败——这不是配置问题，是构建逻辑错位。
为什么不能用单阶段 Dockerfile 直接跑 Go 服务
常见错误是把开发环境当生产环境用：FROM golang:latest → COPY . . → RUN go build → CMD ["./app"]。这会打包整个 Go 工具链、$GOROOT、测试依赖、甚至 git 和 sh，最终镜像常达 900MB+。
- 默认以
root用户启动，违反最小权限原则 - 镜像含大量攻击面（bash、curl、gcc 等非运行必需组件）
-
golang:latest是调试镜像，不含ca-certificates或/etc/resolv.conf，HTTPS 请求和域名解析必然失败 - 未禁用 CGO，编译出的二进制在 Alpine/scratch 上会 panic
CGO_ENABLED=0 GOOS=linux go build 必须加，但不是万能的
这条命令确保生成纯静态二进制，不依赖宿主机 libc，能在 scratch 镜像中运行。但它只解决「编译时链接依赖」，不解决「运行时环境依赖」。
- 发起 HTTPS 请求？没证书就
tls: failed to verify certificate - 调用
time.LoadLocation("Asia/Shanghai")？没tzdata就 panic - 访问
https://api.example.com？没/etc/resolv.conf或 DNS 库，直接lookup api.example.com: no such host - 用
alpine:latest运行时：补RUN apk --no-cache add ca-certificates tzdata - 用
scratch运行时：必须COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/，并手动复制对应时区文件
多阶段构建中 builder 阶段的缓存优化关键点
Docker 构建速度慢，往往卡在 go mod download。缓存失效一次，后续所有层全重来。
立即学习“go语言免费学习笔记（深入）”；
- 先
COPY go.mod go.sum .，再RUN go mod download—— 只要模块没变，这步永远命中缓存 - 后
COPY . .再RUN CGO_ENABLED=0 GOOS=linux go build -o main ./cmd/api—— 源码改了才重编译 - 国内环境务必设
ENV GOPROXY=https://goproxy.cn,direct，否则go mod download可能超时失败 - 避免在 builder 阶段
RUN go test—— 测试依赖不进最终镜像，却拖慢构建；应单独 stage 或 CI 中执行
运行阶段选 alpine 还是 scratch
scratch 镜像体积确实最小（≈0B），但它是真正的空镜像：无 shell、无证书、无 DNS 解析库、无 /dev/pts、甚至无 /tmp。线上踩坑远多于收益。
- 首选
alpine:latest：体积通常 12–15MB，自带apk、基础 DNS 支持、可快速补证书和时区 - 仅当有严格合规要求（如金融级镜像扫描）且已验证全部运行时依赖时，才切
scratch - 切之前必须验证：HTTPS 调用、日志时间戳、第三方 API 域名解析、信号处理（
os.Interrupt）、临时文件写入 - 别信“体积小=更安全”——缺失必要组件导致应用崩溃，比多几个 MB 更危险
最易被忽略的不是怎么写 Dockerfile，而是忘记验证运行时环境是否真能支撑业务代码——比如 net/http 默认用系统 DNS，而 scratch 里连 getaddrinfo 都找不到；又比如日志里时间全是 UTC，因为没挂载时区文件。这些不是部署后才暴露的问题，是构建时就该用真实请求 smoke test 掉的。
