Buffalo容器化必须剥离UI层、用多阶段构建（golang:alpine编译+alpine/distroless运行）、禁用CGO、非root运行并补全ca-certificates/tzdata；直接FROM golang:latest会导致900MB+镜像、root风险及HTTPS/DNS/时区故障。
Buffalo 项目不能直接用 golang:latest 构建运行镜像
直接 FROM golang:latest + COPY . . + go run 或 buffalo dev 启动，会导致镜像超大（900MB+）、默认 root 权限、HTTPS 请求失败、DNS 解析失败、时区 panic —— 这不是 Buffalo 的问题，是构建逻辑把开发环境当生产环境用了。
Buffalo 默认带 Web UI 能力（模板、assets、webpack），但纯 API 场景下这些全是冗余攻击面。必须剥离后才能安全进容器。
- 删掉
templates/、assets/、node_modules/和相关构建脚本（如webpack.config.js） - 注释或移除面向浏览器的中间件：
app.Use(cookies.Secure())、app.Use(csrf.New()) - 禁用静态文件路由：
app.ServeFiles(...)和所有r.HTML(...)调用 - 只保留
app.JSON(...)或c.Render(...)输出 JSON，确保不加载模板引擎
多阶段 Dockerfile 必须分 builder 和 runtime 两步
builder 阶段用 golang:1.22-alpine 编译，runtime 阶段用 alpine:latest 或 gcr.io/distroless/static-debian11 运行——这是 Buffalo 容器化唯一靠谱路径。
关键参数一个都不能少：CGO_ENABLED=0（否则 Alpine 下 panic）、GOOS=linux（跨平台编译）、GOPROXY=https://goproxy.cn,direct（国内加速）。
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
立即学习“go语言免费学习笔记（深入）”；
- builder 阶段先
COPY go.mod go.sum .再RUN go mod download，缓存才真正生效 - 别在 builder 里跑
go test或buffalo build，测试依赖不该进最终镜像 - runtime 阶段必须
RUN apk --no-cache add ca-certificates tzdata，否则time.LoadLocation("Asia/Shanghai")和 HTTPS 全挂 -
COPY --from=builder /app/myapp .只复制二进制，别复制整个/app目录
运行阶段必须非 root + 显式健康检查
Buffalo 默认监听 :3000，但 Kubernetes 或 Docker Swarm 要求服务暴露可探测的就绪态。硬写 EXPOSE 3000 没用，端口通 ≠ 服务 ready。
- 加中间件注册
/health：比如app.GET("/health", func(c buffalo.Context) error { return c.String(200, "ok") }) - 运行阶段加用户隔离：
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001，再USER appuser:appgroup - 确保二进制有执行权限：
RUN chmod +x myapp，否则非 root 用户直接 Permission denied - 启动命令用
ENTRYPOINT ["./myapp"]，别用sh -c包一层，否则信号转发失效（Ctrl+C 杀不掉）
本地调试和容器行为要对齐
Buffalo 开发时默认读 buffalo.dev.yml 或环境变量，但容器里没这些文件。常见错误是本地能跑，一进容器就 panic：找不到 DB、连不上 Redis、时区炸了。
- Go 代码里别硬写
"localhost:5432"，统一走os.Getenv("DATABASE_URL") - 删掉
buffalo.New(buffalo.Options{...})里的Env: "development"，改用Env: os.Getenv("ENV") - 用
docker run -e ENV=production -e DATABASE_URL=...启动，别依赖配置文件挂载 -
.dockerignore必须包含**/*.md、testdata/、.git、node_modules/，否则构建慢且镜像臃肿
