不能直接用 go build + FROM ubuntu 做最小镜像，因为 go build 默认生成动态链接二进制，依赖宿主机 glibc，而 Ubuntu 镜像体积大、含冗余组件；报错 “no such file or directory” 实质是找不到动态链接器，须设 CGO_ENABLED=0 强制静态编译并验证 ldd 输出 “not a dynamic executable”。
为什么不能直接用 go build + FROM ubuntu 做最小镜像
因为 go build 默认生成的是动态链接的可执行文件，依赖宿主机的 libc（如 glibc），而 Alpine 镜像用的是 musl libc，Ubuntu 镜像虽兼容但体积大、有冗余运行时。直接拷进去跑会报错：standard_init_linux.go:228: exec user process caused: no such file or directory——本质是动态链接器找不到，不是文件不存在。
- 验证方式：在宿主机执行
ldd your-binary，若输出含libc.so.6或路径指向/lib64/ld-linux-x86-64.so.2，就是动态链接 - 解决方向只有两个：静态编译，或选对基础镜像（带对应 libc）
- Alpine 虽小，但 Go 程序若用了
cgo（比如调用 sqlite、openssl 等），默认仍会动态链接——必须显式禁用
如何让 go build 产出真正静态链接的二进制
关键不是加 -a（已废弃），而是控制 cgo 和链接器行为。默认 CGO_ENABLED=1，哪怕没写 C 代码，Go 标准库中部分网络、DNS 模块也会悄悄依赖系统 libc。
- 构建前设环境变量：
CGO_ENABLED=0，强制纯 Go 实现（DNS 解析走 Go 自己的，不调getaddrinfo） - 加上
-ldflags '-s -w'：-s去除符号表，-w去除调试信息，能再减 30% 体积 - 完整命令示例：
CGO_ENABLED=0 go build -ldflags '-s -w' -o myapp ./cmd/myapp - 验证是否静态：
file myapp输出含statically linked；ldd myapp应提示not a dynamic executable
Dockerfile 里该选哪个基础镜像才真正“极简”
静态二进制唯一硬性要求是：基础镜像得提供一个能加载 ELF 的内核接口（即任何 Linux 发行版的 scratch 或 alpine:latest 都行），但 scratch 是空镜像，连 /bin/sh 都没有，调试和日志重定向会受限。
- 首选
FROM scratch：最终镜像大小 ≈ 二进制本身（通常 5–15MB），无任何攻击面 - 次选
FROM alpine:latest：多出 ~3MB，但保留apk、sh，方便容器内临时排查（比如docker exec -it container sh） - 绝对避免
FROM ubuntu:22.04或debian:slim：它们自带完整包管理器、shell、systemd 兼容层，白白增加 50MB+ - 注意：用
scratch时，COPY后必须显式指定ENTRYPOINT或CMD，且不能依赖/bin/sh——例如CMD ["./myapp"]可行，CMD ./myapp（shell form）会失败
如何处理非二进制依赖（如 config.yaml、template.html）
静态二进制解决了运行时依赖，但程序常需读取外部文件。这些文件不能硬编码进 Go 二进制（除非用 embed），得随镜像一起打包——但又不能破坏“极简”原则。
立即学习“go语言免费学习笔记（深入）”；
- 用多阶段构建：第一阶段
FROM golang:1.22编译，第二阶段FROM scratch只COPY二进制 + 必需文件 - 必需文件建议统一放
/app/下，比如：COPY myapp /app/myapp，COPY config.yaml /app/config.yaml - 若文件极少且不常变，更推荐用 Go 1.16+ 的
embed：把config.yaml打包进二进制，运行时用fs.ReadFile读取，彻底消灭外部依赖 - 别在
scratch镜像里RUN chmod或chown：它没chmod命令。权限应在构建前设好（chmod 755 myapp），或用COPY --chmod=755（Docker 20.10+ 支持）
真正极简的关键不在“删了多少东西”，而在“有没有引入本不需要的东西”。一个 scratch 镜像里混进 ca-certificates、tzdata 或 bash，哪怕只多 1MB，也违背了初衷。每次 docker build 后用 docker history your-image 看各层大小，比任何文档都管用。
