必须用多阶段构建，且运行阶段禁用root用户、禁用CGO、禁用源码和构建工具链；否则镜像体积暴增至400MB+、攻击面扩大、无法可复现，HTTPS请求失败、动态链接报错“no such file or directory”。
Go 项目构建生产级 Dockerfile，核心就一条：**必须用多阶段构建，且运行阶段禁用 root 用户、禁用 CGO、禁用源码和构建工具链**。其他所有优化——体积、安全、启动速度、可复现性——都从这三点长出来。
为什么不能直接 FROM golang:alpine 然后 RUN go build？
这种写法在本地能跑，但会把整个 Go 工具链、go.mod、vendor、临时编译产物全打进最终镜像。后果很实在：
- 镜像体积从 20MB 暴涨到 400MB+（
golang:alpine本身约 80MB，加上依赖和中间文件） - 攻击面扩大：
apk、sh、gcc（如果没关 CGO）全在运行容器里，不是“最小必要” - 无法保证构建可复现：
go build如果没固定GOOS/GOARCH，可能在不同平台产出不一致二进制
多阶段构建的两个阶段怎么写才对？
第一阶段（builder）只负责编译，第二阶段（runtime）只负责运行。关键点不是“分两段”，而是“每段只做一件事”：
- 构建阶段用
golang:1.21-alpine或golang:1.21-slim，优先选 Alpine（更小、更轻） - 务必设置
CGO_ENABLED=0和GOOS=linux，否则二进制会动态链接 libc，无法在scratch或精简 Alpine 上跑 - 构建命令推荐：
go build -a -ldflags '-extldflags "-static"' -o main .（-a强制重编译所有依赖，-ldflags确保完全静态） - 运行阶段不要用
golang镜像，改用alpine:latest或更极致的scratch；若选alpine，记得apk --no-cache add ca-certificates，否则 HTTPS 请求会失败
运行阶段怎么避免 root 权限和证书问题？
很多团队写了多阶段，却在最后一步又退回 root，还忘了证书——这两处是上线后最常被安全扫描打标的点：
立即学习“go语言免费学习笔记（深入）”；
- 在运行阶段镜像里创建非 root 用户：
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001 - 切换用户：
USER appuser（必须放在COPY之后、ENTRYPOINT之前） -
ca-certificates必须显式安装（Alpine 默认不带），否则调用外部 API、连数据库、发邮件全失败；scratch镜像则需手动 COPY 证书文件，不推荐新手用 - 别用
ENV GOPATH或WORKDIR /go这类 Go 构建期路径，运行阶段不需要
.dockerignore 和 COPY 的顺序为什么影响构建速度？
构建缓存是否命中，取决于每一层的输入内容是否变化。COPY . . 如果没过滤，会把 node_modules、vendor、.git 全塞进构建上下文，导致：
- Docker daemon 传输大量无用文件，本地构建慢、CI 构建卡顿
-
COPY指令的 SHA256 哈希值频繁变动，后续所有层缓存失效
必须配 .dockerignore，至少包含：.git、README.md、.env、vendor（如果不用 vendor）、go.sum（如果 go mod download 已提前做）。
真正难的不是写出一个能跑的 Dockerfile，而是让每一行指令都回答清楚：“它存在的唯一理由是什么？删掉它会不会让镜像变不可用？留着它会不会带来额外风险或体积？” 多阶段不是炫技，是把“编译”和“运行”这两个本就不该混在一起的动作，物理隔离。这点一旦松动，后面所有优化都会打折扣。
