Kratos 默认Dockerfile不可直接用于生产，因其多阶段构建在alpine中缺失ca-certificates、CGO_ENABLED=0导致驱动加载失败、且未包含config.yaml等必需配置；推荐改用单阶段+scratch镜像，显式静态编译、非root用户、JSON格式ENTRYPOINT。
为什么 Kratos 项目默认 Dockerfile 不能直接用
Kratos 官方模板生成的 Dockerfile 默认采用多阶段构建，第一阶段用 golang:1.23-alpine 编译，第二阶段用 alpine:latest 运行。但实际部署常踩三个坑：alpine 缺少 ca-certificates 导致 HTTPS 请求失败；CGO_ENABLED=0 关闭后无法加载某些驱动（比如 MySQL 的 mysql 驱动）；镜像里没包含 config.yaml 或其他运行时必需配置文件路径。
如何写一个生产可用的 Kratos Dockerfile
推荐使用单阶段构建 + scratch 基础镜像（前提是二进制已静态链接），兼顾安全与体积。关键点如下：
- 编译阶段显式启用
CGO_ENABLED=0，并加-ldflags="-s -w"去除调试信息 - 确保
go build输出的是纯静态二进制（用file ./bin/server检查是否含 “statically linked”） - 运行阶段用
FROM scratch，只 COPY 二进制和必要配置（如configs/目录） - 必须指定非 root 用户（
USER 65532:65532）和工作目录（WORKDIR /app） - ENTRYPOINT 要用数组格式，避免 shell 解析干扰信号传递
示例片段：
FROM golang:1.23-alpine AS builder WORKDIR /app COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux go build -a -ldflags="-s -w" -o ./bin/server ./cmd/server FROM scratch COPY --from=builder /app/bin/server /app/server COPY --from=builder /app/configs /app/configs USER 65532:65532 WORKDIR /app EXPOSE 8000 ENTRYPOINT ["/app/server"]
本地构建失败常见错误及修复
执行 docker build -t mykratos . 报错时，优先排查这几项：
-
cannot load github.com/go-kratos/kratos/v2: cannot find module providing package github.com/go-kratos/kratos/v2：说明go.mod中 kratos 版本不匹配当前 Go 版本，降级到v2.10.0或升级 Go 到 1.22+（Kratos v2.11+ 要求 Go 1.22+） -
standard_init_linux.go:228: exec user process caused: no such file or directory：大概率是用了alpine基础镜像但二进制依赖 glibc（比如开了CGO_ENABLED=1），换debian:slim或坚持用scratch+ 静态编译 -
permission denied启动失败：检查server文件权限，Docker 构建后默认无执行位，加RUN chmod +x ./bin/server或在COPY后补RUN chmod +x /app/server
镜像推送到 Harbor 后 K8s 拉取失败怎么办
即使 docker push 成功，K8s Pod 启动仍可能卡在 ImagePullBackOff。这不是 Dockerfile 问题，而是 K8s 缺少拉取私有仓库的凭据：
- 确认
secret创建时用了正确的--docker-server地址（带协议？不带？Harbor 通常要http://10.1.1.252:18090，不是https） - 确认
Deployment的spec.template.spec.imagePullSecrets正确引用了该 secret 名称 - 确认命名空间一致：
kubectl get secret -n kube-devops查 secret 是否真在目标 ns 下 - 如果用
image: 10.1.1.252:18090/mygroup/helloworld:v1，注意地址中端口不能省略，且必须和secret中的docker-server完全一致
最易忽略的是：Dockerfile 里写的 ENTRYPOINT 是字符串形式（如 ENTRYPOINT "/app/server"），会导致容器启动后 PID 不为 1，K8s 无法正确转发 SIGTERM —— 必须写成 JSON 数组格式。
