CGO_ENABLED=0 和 -ldflags="-s -w" 必须同时生效，前者强制纯静态链接避免 libc 依赖，后者删除符号表和调试信息；Dockerfile 中需紧邻执行 go mod download 和 rm -rf /go/pkg/mod/cache，且 .dockerignore 必须前置排除无关文件。
CGO_ENABLED=0 和 -ldflags="-s -w" 必须同时生效
只设 CGO_ENABLED=0 不够，二进制仍带调试符号和 DWARF 信息；只加 -ldflags="-s -w" 也不行，CGO 开启时会动态链接 libc，scratch 镜像直接 panic。两者缺一不可。
常见错误是把编译命令拆成两行：RUN go build -o main . 然后在下一层用 CGO_ENABLED=0，这完全无效——环境变量只对当前 RUN 生效。
-
CGO_ENABLED=0强制纯静态链接，避免依赖系统 musl 或 glibc -
-s删除符号表，-w剔除调试信息，通常能减小 30–50% 二进制体积 -
-a参数必须带上，否则标准库中部分包可能复用缓存的动态链接版本
Dockerfile 中 go mod download 和 rm -rf /go/pkg/mod/cache 要紧挨着写
很多人以为 go mod download 下完就完了，其实它会在 /go/pkg/mod/cache 留下大量 tar.gz 和 unpack 后的源码目录，这部分默认会被打包进 builder 阶段镜像层，且不会被后续 COPY --from=builder 自动过滤掉。
更糟的是，如果没显式清理，docker build --no-cache 也救不了你——缓存层还在，只是不复用而已。
立即学习“go语言免费学习笔记（深入）”；
- 必须在
RUN go mod download后立刻执行RUN rm -rf /go/pkg/mod/cache - 不要写成
RUN go mod download && rm -rf /go/pkg/mod/cache——单条 shell 命令里出错会静默失败，建议拆成两个RUN - 如果用了
go mod vendor，vendor 目录也得在 builder 阶段末尾RUN rm -rf ./vendor，否则 COPY 进 runtime 阶段时可能意外带上
.dockerignore 比 Dockerfile 里的 RUN rm -rf 更早、更彻底
RUN rm -rf .git 是伪删除：它只是新增一层“删掉 .git”，实际镜像体积没变，还多了一层元数据。真正起效的是构建上下文传入前就排除。
只要 .dockerignore 里漏掉一行，比如忘了写 testdata/，整个目录就会被 COPY . . 拉进 builder 阶段，哪怕你后面 RUN rm -rf testdata，体积照样膨胀。
- 必写项：
.git、.gitignore、go.mod（runtime 阶段不需要）、testdata/、examples/、scripts/ - 别信 “我只 COPY main.go” ——
COPY . .就是全量复制，.dockerignore是唯一前置过滤手段 - 验证是否生效：
docker build --no-cache -f - . < /dev/null看输出的 Sending build context 字节数，明显偏大说明 ignore 失效
FROM scratch 的隐式依赖比你想象中更脆弱
选 scratch 是为了极致精简，但它不提供任何系统调用支持。一旦代码里用了 os/exec、net/http（默认走系统 DNS）、user.Lookup 这类需要 libc 或 /etc/passwd 的功能，容器启动就报 no such file or directory，根本不是找不到二进制，而是找不到 /bin/sh 或解析不了域名。
这不是编译问题，是运行时行为问题，docker run --rm -it image sh 都进不去，没法 debug。
-
net/http加GODEBUG=netdns=go强制 Go 自实现 DNS 解析 -
os/exec改用syscall.Exec或提前把所需二进制（如sh）打进镜像（那就别用scratch） - 用
alpine替代scratch时，记得apk --no-cache add ca-certificates tzdata，否则 HTTPS 请求或时区处理会失败
最易被忽略的一点：多阶段构建中 builder 阶段的 /go 目录（含 /go/pkg、/go/src）和 root 用户的 ~/.cache/go-build，只要没在 builder 阶段末尾显式 RUN rm -rf，就会固化为镜像层——哪怕你最终只 COPY --from=builder 一个二进制，这些路径依然存在，且无法通过后续指令清除。
