最稳妥路径是多阶段构建+Alpine，必须设CGO_ENABLED=0、GOOS=linux并配好健康探针；否则易CrashLoopBackOff或启动失败。
直接用多阶段构建 + Alpine 运行镜像，是部署轻量级 Go 应用最稳妥的路径。关键不在“能不能”，而在 CGO_ENABLED=0、GOOS=linux 和探针配置是否到位——漏掉任一环节，Pod 就可能 CrashLoopBackOff 或无法就绪。
为什么必须用多阶段构建？
Go 编译产物是静态二进制，但构建过程依赖完整 Go 工具链和 glibc（或 musl）头文件。Alpine 默认用 musl，而官方 golang:alpine 镜像已适配。单阶段直接在 Alpine 里编译会失败，因为缺少 git、ca-certificates 等基础工具；若用 golang:debian 构建再 COPY 到 Alpine，则二进制可能因动态链接失败而启动报错：standard_init_linux.go:228: exec user process caused: no such file or directory。
多阶段构建天然隔离构建与运行环境，避免上述问题：
- 构建阶段用
golang:1.22-alpine（带git、ca-certificates），确保go mod download和go build成功 - 运行阶段用纯净
alpine:latest，仅 COPY 二进制 +ca-certificates，镜像体积通常压到 15–20MB - 务必加
CGO_ENABLED=0 GOOS=linux，否则默认启用 cgo 会导致二进制依赖系统库，在 Alpine 中不可运行
go build 的关键参数不能省
即使用了 Alpine 构建镜像，go build 若不显式禁用 cgo，仍可能生成动态链接的二进制。常见错误现象是容器启动后立刻退出，日志为空或只有一行 exec format error。
正确写法（必须包含）：
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o main ./cmd/api
说明：
-
CGO_ENABLED=0：强制纯静态编译，不调用 C 标准库 -
GOOS=linux：明确目标操作系统，避免本地 macOS/Windows 构建时出错 -
-ldflags="-s -w"：剥离调试符号和 DWARF 信息，减小二进制体积约 30–50% -
./cmd/api而非.：避免意外打包测试文件或未导出包
Kubernetes Deployment 中容易忽略的三项配置
镜像跑起来了，不代表服务能被 Kubernetes 正确管理。以下三项配置缺失，会导致滚动更新卡住、健康检查失败或资源争抢：
-
livenessProbe和readinessProbe必须指向 Go 应用实际暴露的 HTTP 健康端点（如/health），且initialDelaySeconds要大于应用冷启动时间（特别是加载配置、连接 DB 的耗时） -
resources.limits和requests必须显式设置。Alpine 镜像虽小，但 Go 应用内存泄漏或 goroutine 泛滥时仍会吃光节点资源；Kubernetes 默认不设限，Pod 可能被 OOMKilled -
terminationGracePeriodSeconds建议设为30或更高。Go 应用需时间处理SIGTERM并完成优雅关闭（如 drain HTTP 连接、flush metrics），默认 30 秒通常够用，但高并发场景建议实测调整
Alpine 镜像下 DNS 和证书问题怎么解？
Alpine 使用 musl libc，其 DNS 解析行为与 glibc 不同：默认不支持 search 域、对 ndots 敏感，且 /etc/resolv.conf 被 Kubernetes 挂载后可能覆盖原有配置。典型现象是 Go 应用调用外部 API 时卡在 lookup api.example.com on 10.96.0.10:53: no such host。
解决方法只有两个有效选项：
- 在
Dockerfile运行阶段加一行：RUN apk --no-cache add bind-tools && echo "options ndots:5" > /etc/resolv.conf（临时覆盖，适用于调试） - 更推荐方式：Kubernetes 层面通过
dnsConfig显式配置，例如在 Pod spec 中加入：dnsConfig: options: - name: ndots value: "5" - name: timeout value: "2" - 证书问题（
x509: certificate signed by unknown authority）只需确保运行阶段执行了RUN apk --no-cache add ca-certificates，且该命令在COPY --from=builder之前
真正麻烦的不是构建镜像，而是让 Alpine 上的 Go 进程在 Kubernetes 的网络、信号、资源约束下稳定存活——健康探针超时阈值、SIGTERM 处理逻辑、DNS 配置这三处，线上故障里八成出在这儿。
