ldd可直接列出Go二进制缺失的动态库名（如libwebp.so.5），需在目标环境执行；用apt search精准匹配so后数字选包（如libwebp.so.5→libwebp7）；CGO_ENABLED=0可生成完全静态二进制规避依赖问题。
ldd 一看就明白缺失什么库
别猜，直接用 ldd 查 Go 编译出的二进制文件，它会把所有依赖的动态库列出来，带 not found 的就是当前系统缺的。比如：
ldd ./myapp | grep "not found"
输出可能是：libwebp.so.5 => not found 或 libssl.so.1.1 => not found——这些就是你要补的库名，不是路径，也不是版本号后缀，是完整库名（含 .so.x 部分）。
注意：ldd 必须在目标运行环境（比如容器里、生产服务器上）执行，不能只在本地开发机跑；否则看到的“全都有”只是假象。
用 apt search 精准定位系统包名
拿到缺失库名（如 libwebp.so.5），在 Debian/Ubuntu 上用 apt search 找对应软件包：
立即学习“go语言免费学习笔记（深入）”；
apt search libwebp.so.5
结果通常会返回类似 libwebp7 或 libwebp6 这样的包名。别凭经验选最新版，要严格匹配 .so.5 对应的主版本号（即 so 后的数字）。常见对应关系：
-
libxxx.so.1→ 一般对应libxxx1包 -
libssl.so.1.1→ 是libssl1.1，不是libssl3 -
libmysqlclient.so.21→ 对应libmysqlclient21
装错版本会导致符号不兼容，程序仍报 undefined symbol，比“not found”更难排查。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
CGO_ENABLED=0 是最省心的规避方式
如果你的 Go 程序只调用标准库或纯 Go 实现的第三方库（比如 net/http、encoding/json），且不需要 Cgo（例如不调用 cwebp、sqlite3、openssl），那就强制关闭 CGO：
CGO_ENABLED=0 go build -o myapp
生成的二进制是静态链接的，完全不依赖系统 libc、libssl 等动态库。这种二进制扔到任何 Linux 发行版甚至 Alpine 都能直接跑，不用补任何库。
但要注意：一旦代码里有 #include、C.xxx 或用了 import "C"，关 CGO 就会编译失败——这时候就得老老实实补库，或者换多阶段构建对齐 libc 版本。
容器里补库容易漏掉 ldconfig
在 Dockerfile 中用 apt install 装完库后，必须加一步 ldconfig，否则新装的库不会被动态链接器识别：
RUN apt update && apt install -y libwebp7 && ldconfig
漏掉 ldconfig 是高频坑：你明明装了 libwebp7，ldd 却依然显示 not found，因为缓存没更新。另外，LD_LIBRARY_PATH 在容器里尽量避免用，它容易污染环境且不可靠；优先走系统级注册（/etc/ld.so.conf.d/ + ldconfig）。
真正麻烦的不是“找不到库”，而是“找到了但符号版本不对”——比如 GLIBC_2.32 在镜像里只有 GLIBC_2.28，这时重装库没用，得换基础镜像或静态编译。
