不能用单阶段 Dockerfile 直接运行 Go 服务，因 golang:latest 是调试镜像，含完整工具链致镜像超 900MB、默认 root 权限违规、缺失 ca-certificates/tzdata/resolv.conf 导致 HTTPS/DNS/时区失败，且未禁用 CGO 会引发运行时 panic。
直接用 golang:latest 构建并运行 Go 容器，90% 的情况下会出问题——不是配置没调好，是构建模型本身错了。
为什么不能用单阶段 Dockerfile 直接跑 Go 服务
常见错误写法：FROM golang:latest → COPY . . → RUN go build → CMD ["./app"]。这等于把开发机整个搬进容器：镜像含 gcc、bash、git、完整 $GOROOT，体积轻松突破 900MB。
- 默认以
root用户启动，违反最小权限原则 - 缺失
/etc/resolv.conf和ca-certificates，HTTPS 请求和域名解析必然失败 - 未设
CGO_ENABLED=0，编译出的二进制在 Alpine/scratch 上运行时 panic - 镜像里带测试代码、调试符号、模块缓存，全是运行时不需要的攻击面
多阶段构建必须包含 builder 和 final 两个阶段
builder 阶段只负责编译，final 阶段只负责运行。二者环境完全隔离，最终镜像里只有二进制文件和它真正需要的东西。
- builder 镜像用
golang:1.22-alpine足够，不用latest；提前COPY go.mod go.sum再go mod download，利用 Docker 层缓存加速构建 - 编译命令必须带
CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -ldflags="-s -w" -o main .：静态链接 + 去调试信息 + 去符号表 - final 镜像优先选
alpine:latest（需手动apk add ca-certificates），慎用scratch——除非你确认应用不依赖任何系统证书或时区数据 - 务必用
COPY --from=builder显式复制二进制，不要COPY整个目录，避免误带源码或中间文件
运行时环境容易被忽略的硬性依赖
即使二进制是静态编译的，Go 程序在容器中仍可能因缺失基础运行时组件而失败。
立即学习“go语言免费学习笔记（深入）”；
-
HTTPS请求失败？大概率是 final 镜像没证书：从 builder 复制/etc/ssl/certs/ca-certificates.crt，或在alpine中RUN apk --no-cache add ca-certificates - DNS 解析超时？检查 final 镜像是否存在
/etc/resolv.conf；Docker 默认会注入，但若用scratch或自定义 entrypoint 覆盖了它，就得手动挂载或写入 - 日志里出现
unknown time zone？alpine默认不含tzdata，需RUN apk add tzdata并设ENV TZ=UTC - 程序启动后立刻退出？检查
ENTRYPOINT是否写成ENTRYPOINT ["./main"]（数组形式），而非ENTRYPOINT ./main（shell 形式，会绕过信号转发）
安全与可维护性的关键收尾动作
镜像打包不是终点，而是交付链路的起点。几个不常做但极关键的动作：
- 用非 root 用户运行：
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001，再USER appuser - 暴露端口只是声明，实际监听地址必须是
0.0.0.0:$PORT，不能写死127.0.0.1 - 健康检查接口（如
/health）必须存在且响应快，Kubernetes 依赖它判断 Pod 是否就绪 - 如果用
goctl dockerize自动生成Dockerfile，务必人工核对是否加了CGO_ENABLED=0、-ldflags、用户切换和证书处理
最常被跳过的其实是「验证 final 镜像是否真能跑起来」：本地 docker build -t test . && docker run --rm -p 8080:8080 test，然后 curl http://localhost:8080/health —— 这一步省掉，上线后第一件事就是查 DNS 或证书错误。
