必须设置CGO_ENABLED=0，否则Go二进制动态链接glibc，在Alpine（musl libc）中因找不到/lib64/ld-linux-x86-64.so.2而报“no such file or directory”；需配合多阶段构建、非root用户及显式健康检查。
CGO_ENABLED=0 必须设，否则二进制会动态链接 libc，导致 Alpine 镜像里跑不起来。
用多阶段构建生成静态二进制镜像
Go 编译出的可执行文件默认依赖系统 C 库，直接扔进 alpine:latest 会报 standard_init_linux.go:228: exec user process caused: no such file or directory —— 实际是找不到 libc.so，不是路径错了。
-
FROM golang:1.22-alpine AS builder：只用于编译，别留到最终镜像 -
RUN CGO_ENABLED=0 GOOS=linux go build -o main ./cmd/api：关掉 cgo，指定 linux 目标平台 -
FROM alpine:latest或更安全的gcr.io/distroless/static-debian11：运行时只放二进制和 ca-certificates -
COPY --from=builder /app/main .：别复制整个/app目录，只拷可执行文件
Dockerfile 中暴露端口和健康检查要对齐服务代码
很多团队写了 EXPOSE 8080 却忘了服务实际监听的是 :9000，或者没实现 /health 接口，结果 Kubernetes 的 readinessProbe 一直失败。
-
EXPOSE只是文档作用，不影响实际绑定，真正起作用的是 Go 代码里的http.ListenAndServe(":8080", nil) - 必须在 handler 里显式注册
/health（或/healthz），返回 200 + 空 body，不能只靠端口通就认为就绪 - 如果用了
gin，别漏写router.GET("/health", func(c *gin.Context) { c.Status(200) }) - Kubernetes 的 probe 默认超时 1 秒，若启动慢（比如连 DB 耗时长），得调高
initialDelaySeconds
非 root 用户运行是生产环境硬性要求
Alpine 镜像默认以 root 启动，但多数 K8s 集群启用了 PodSecurityPolicy 或 PodSecurity Admission，会直接拒绝 root 权限的 Pod。
- 在运行阶段镜像里加
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001 - 加
USER appuser:appgroup在CMD前面 - 确保二进制文件权限是
chmod +x main，否则非 root 用户执行不了 - 如果服务要 bind 到 80 端口，别硬改，改代码监听
:8080，K8s Service 做端口映射
构建命令和本地调试要保持一致
用 docker build -t mysvc:dev . 构建后，本地跑 docker run -p 8080:8080 mysvc:dev 报错，往往是因为环境变量没传进去，或者配置文件路径不对。
立即学习“go语言免费学习笔记（深入）”；
- Go 服务读配置优先级：命令行 flag > 环境变量 > 默认值，别依赖本地
config.yaml - 构建时别用
COPY . .全量复制，容易把.git、go.mod、测试文件打进镜像 - 推荐在
Dockerfile里加ENV GIN_MODE=release（如果用 gin），避免开发模式日志泄露 - 调试时用
docker run -it --rm --entrypoint sh mysvc:dev进容器看文件结构和权限
distroless 镜像没法 sh 进去 debug，Alpine 至少还能 apk add strace；但无论选哪个，CGO_ENABLED=0 和 USER 指令漏一个，上线前都可能卡在 CI/CD 最后一步。 
