极简基础镜像选型核心是够小、够用、够稳：Alpine（5MB，含Shell和apk）适合多数场景但需注意musl兼容性；Distroless无Shell，适合已编译二进制；Scratch仅限静态链接程序，大小为0MB。
选极简基础镜像，核心就三点：够小、够用、够稳。不是越空越好，而是按需取舍。
alpine：5MB 左右的通用轻量选择
适合大多数需要 Shell、包管理、网络工具的场景，比如运行 Python/Node.js 服务或带简单依赖的 Go 应用。
- 用
apk add --no-cache安装软件，避免缓存残留 - 注意 musl libc 兼容性：部分依赖 glibc 的二进制（如某些 Python C 扩展、旧版 Java JNI）可能报错或性能下降
- 推荐写法：
FROM alpine:3.19—— 明确版本，避开latest的不确定性
distroless：无 Shell、无包管理器的安全生产镜像
只含运行时必需文件（如证书、动态库），攻击面极小，适合已编译完成的二进制（Go/Rust/Java JAR）。
- 不能
docker exec -it进去调试，日志和监控得靠外部工具或应用内埋点 - 官方提供语言专用镜像，如
gcr.io/distroless/base或python3.11版本 - 常见组合：多阶段构建中，前段用
golang:1.22编译，后段COPY --from=builder到 distroless
scratch：真正零依赖，仅限静态二进制
镜像大小为 0MB，完全空白。只适用于 Go（CGO_ENABLED=0）、Rust（target = "x86_64-unknown-linux-musl"）等能静态链接的程序。
- 必须确保二进制不依赖任何动态库、系统配置或证书（可
COPY ca-certificates.crt补充） - 无法运行
sh、ls等命令，连docker logs都只能看到标准输出 - 示例：
FROM scratch→COPY myapp /→CMD ["/myapp"]
别踩坑：几个关键判断点
选之前先确认三件事：
- 你的程序是否真能静态编译？用
ldd myapp检查 —— 若显示not a dynamic executable，才适合 scratch - 是否需要调试能力？开发/测试阶段慎用 distroless 或 scratch
- 宿主机内核版本是否较老？新版 Alpine（musl 1.2.4+）在旧内核上可能触发兼容 fallback，影响 syscall 性能
