不能用 golang:latest 直接构建运行 Echo 服务，因其含完整工具链致镜像超 900MB、默认 root 权限违规、缺失 ca-certificates/resolv.conf 导致 HTTPS/DNS 失败，且未设 CGO_ENABLED=0 和 GOOS=linux 会因动态链接 libc 在 Alpine/scratch 上 panic。
为什么不能用 golang:latest 直接构建并运行 Echo 服务
直接用 golang:latest 当运行镜像，90% 的情况会失败——不是代码问题，是环境错位。这个镜像含完整 Go 工具链、bash、git、gcc，体积常超 900MB；默认以 root 启动；缺失 /etc/resolv.conf 和 ca-certificates，导致 DNS 解析失败、HTTPS 请求 panic；更关键的是未禁用 CGO_ENABLED，在 Alpine 或 scratch 上一跑就报 standard_init_linux.go:228: exec user process caused: no such file or directory。
常见错误写法：
FROM golang:latest COPY . . RUN go build -o main . CMD ["./main"]
这根本不是“能跑就行”的事，而是生产环境里调度慢、排查难、权限失控的起点。
CGO_ENABLED=0 GOOS=linux 必须同时生效，且顺序不能错
本地开发时 CGO_ENABLED 默认为 1，Go 会链接系统 glibc；但 Alpine 用的是 musl libc，两者 ABI 不兼容。不关 CGO 就编译，镜像启动时看似“文件没找到”，实则是动态链接器对不上。
立即学习“go语言免费学习笔记（深入）”；
-
CGO_ENABLED=0关闭 C 语言交互，强制静态链接所有 Go 标准库（包括net包的 DNS 实现） -
GOOS=linux必须显式声明，即使你在 Linux 机器上构建——跨平台行为不可控，CI 环境可能出错 - 二者必须一起设，缺一不可；只设
CGO_ENABLED=0而漏掉GOOS=linux，在 macOS 或 Windows 上构建时仍可能产出非 Linux 二进制 - 编译命令建议加
-ldflags="-s -w"：去掉符号表和调试信息，体积再减 30%
正确写法示例：
Colly 是一个用于 Go 语言的快速开源爬取和爬虫框架。它适用于从简单的页面提取到异步爬虫处理大量页面集合，支持请求回调和结构化解析。
CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o main .
多阶段 Dockerfile 中的 COPY --from=builder 依赖 AS 别名
如果你写了 FROM golang:1.21-alpine 却没加 AS builder，后续 COPY --from=builder 会直接报错：invalid from flag value builder: stage builder was not found。这不是语法警告，是构建中断。
典型结构必须包含：
FROM golang:1.21-alpine AS builder WORKDIR /app COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o main . FROM scratch COPY --from=builder /app/main /main COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ca-certificates.crt EXPOSE 8080 ENTRYPOINT ["/main"]
-
AS builder是硬性要求，不是可选修饰 - 用
scratch时，CA 证书必须手动COPY，否则任何 HTTPS 请求都失败（tls: failed to verify certificate） - 如果 Echo 服务里用了
time.LoadLocation("Asia/Shanghai")，还得额外COPY时区文件，否则 panic
Docker Compose 中服务间调用别写 localhost
本地跑 go run main.go 时访问 http://localhost:8081/user 没问题，但放进容器后，localhost 指向容器自己，不是其他服务。K8s 或 Compose 内部靠 DNS 名解析，不是靠宿主机端口映射。
正确做法：
- 代码里保持
http.ListenAndServe(":8080", nil)，监听0.0.0.0:8080 -
docker-compose.yml中用ports: ["8081:8080"]映射到宿主机，避免端口冲突 - 服务 A 调用服务 B，URL 必须写成
http://user-service:8080/user（假设服务名是user-service） - 健康检查路径如
/health要暴露，且返回 200，否则 K8s 的 liveness probe 会反复 kill 容器
容易被忽略的一点：Echo 框架默认不处理 SIGTERM，必须手动注册信号监听并调用 server.Shutdown()，否则滚动更新时连接被粗暴中断。
