CGO_ENABLED=0是默认安全线，必须显式设置以生成静态链接二进制；需同时指定GOOS=linux和GOARCH=amd64/arm64，并加-ldflags="-s -w"裁剪体积与敏感信息。
直接编译出能上生产环境的二进制，不是“先跑起来再说”，而是从 go build 的第一个参数就得想清楚。
CGO_ENABLED=0 是默认安全线，别跳过
Linux 生产服务器大多没装 gcc，也没配交叉 C 工具链。一旦你的代码里隐式用了 cgo（比如 net 包在 DNS 解析时、os/user 查用户信息），go build 就会报 exec: "gcc": executable file not found 或运行时报 segmentation fault。
- 显式加
CGO_ENABLED=0，强制走纯 Go 实现：它会让net包用纯 Go DNS 解析器，禁用系统用户查找，但换来的是 100% 静态链接和零依赖 - 如果真绕不开 C 库（比如要用 OpenSSL 加密或 SQLite），那就得在构建机上装
gcc-aarch64-linux-gnu（ARM64）或gcc-x86-64-linux-gnu（AMD64），并设CC=aarch64-linux-gnu-gcc - 验证是否成功静态链接：编译完执行
file myapp，输出含statically linked才算过关；若出现dynamically linked，说明cgo没关干净
GOOS=linux + GOARCH=amd64/arm64 必须显式指定
本地是 macOS 或 Windows？别信“默认就是 linux”。go build 默认按宿主机平台编译，不加环境变量直接跑，产出的是 Mac 或 Windows 二进制，扔到 Linux 上就是 cannot execute binary file: Exec format error。
- 始终写全：
GOOS=linux GOARCH=amd64 go build -o myapp .（x86_64 服务器）或GOARCH=arm64（AWS Graviton、树莓派、麒麟V10） - 别省略
GOARCH——即使你用的是 Intel CPU，某些国产 Linux 发行版（如统信UOS、银河麒麟）内核已默认启用CONFIG_ARM64兼容层，架构错配会导致启动卡死或 syscall 失败 - 交叉编译不依赖目标机装 Go：你本地不需要
go env -w GOOS=linux，每次命令行传参更可控
-ldflags '-s -w' 不只是“减体积”，是生产必需
未加 -ldflags 的二进制自带符号表和调试信息，体积大 30–50%，还暴露源码路径、函数名、甚至变量名。攻击者用 strings myapp | grep password 可能捞出硬编码凭证。
Linux Ai Server
下载
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
立即学习“go语言免费学习笔记（深入）”；
-
-s去除符号表，-w去除 DWARF 调试信息：二者必须一起用，单独用效果打折 - 更进一步可加
-trimpath：彻底抹掉编译时的绝对路径，避免泄露开发机用户名或项目目录结构 - 别为了调试临时去掉它们——生产环境该用
pprof或日志定位问题，而不是靠二进制反查源码行号
部署前必须验证三件事：权限、端口、配置路径
编译通过 ≠ 能跑。Linux 上最常卡在这三步，不是代码问题，是环境契约没对齐。
-
chmod +x myapp：Linux 不认 Windows/macOS 传过来的可执行位，scp 或 rsync 后务必补这一句 - 检查端口是否被占：
ss -tuln | grep :8080，别只看netstat；阿里云/腾讯云还要去控制台开安全组入方向规则 - 确认配置文件路径：Go 程序默认从当前工作目录读
config.yaml，但 systemd 启动时WorkingDirectory是/，得用绝对路径或cd /opt/myapp && ./myapp
真正难的不是让程序跑起来，而是让它在没人盯着的时候持续稳定运行——这要求你从第一次 go build 就把 CGO_ENABLED、GOARCH、-ldflags 当成接口契约来守，而不是发布前才想起来加参数。
