可行，前提是关闭CGO_ENABLED、静态链接、使用scratch或distroless/static基础镜像，并严格分离构建与运行阶段；盲目用golang:alpine直接构建运行会导致镜像达300+MB。
Go 项目最终镜像能压到 2–10 MB 是可行的，前提是关闭 CGO_ENABLED、静态链接、用 scratch 或 distroless/static 作运行基础镜像，并严格分离构建与运行阶段。盲目用 golang:alpine 直接构建并运行，镜像大概率会卡在 300+ MB —— 那不是 Go 小，是你没切掉编译环境。
为什么直接 FROM golang 构建的镜像那么大
因为 golang:alpine 或 golang:latest 是完整开发环境：含 Go 工具链、git、sh、apk、头文件、构建缓存……你只想要一个二进制，却打包了整个“工棚”。更糟的是，若未显式禁用 CGO，Go 会动态链接 musl 或 glibc，导致运行时依赖外部库，无法塞进 scratch。
-
CGO_ENABLED=0必须设，否则生成的二进制可能依赖 libc/musl（scratch里啥都没有） - 不加
-ldflags="-s -w"会保留调试符号和 DWARF 信息，白白多出几 MB - 用
go build而非go run—— 后者每次启动都重新编译，镜像体积反而更大、启动更慢
用 scratch 构建真正最小镜像的关键步骤
scratch 是空镜像，0 字节，不能 exec sh，也不能 apk add ca-certificates。它只接受完全静态链接的可执行文件。所以构建流程必须是：编译阶段全功能 → 运行阶段绝对纯净。
- 第一阶段用
golang:1.24-alpine（或golang:1.24-bullseye）做 builder，确保GOOS=linux GOARCH=amd64 CGO_ENABLED=0 go build -a -ldflags="-s -w" -o /app/main . - 第二阶段用
FROM scratch，COPY --from=0 /app/main /main，然后CMD ["/main"] - 如果项目用了
net/http并发起 HTTPS 请求，需额外嵌入 CA 证书 ——scratch没有/etc/ssl/certs，得用embed.FS或挂载卷，或改用gcr.io/distroless/static（它带证书但无 shell）
alpine vs distroless vs scratch 怎么选
三者不是互斥选项，而是安全粒度与运维便利性的权衡：
立即学习“go语言免费学习笔记（深入）”；
-
scratch：最精简、攻击面最小，但零调试能力 —— 连ls、strace、sh都没有，出问题只能靠日志或远程 pprof -
gcr.io/distroless/static：比scratch多 CA 证书和基本运行时支持，仍无 shell，适合 HTTPS 场景，体积约 2–3 MB -
alpine:latest：有apk和sh，方便临时排查，但 musl 兼容性要小心（比如某些 cgo 依赖），且需手动apk --no-cache add ca-certificates
生产环境首选 scratch 或 distroless/static；调试镜像可单独构建一个带 busybox 的 variant，用 docker build --target debug 分离。
容易被忽略的几个硬坑
很多团队卡在最后一步：镜像跑起来就 panic，或者 HTTPS 请求报 x509: certificate signed by unknown authority，不是构建逻辑错了，而是忽略了 Go 运行时的隐式依赖。
-
time.LoadLocation在scratch下会失败 —— 因为缺/usr/share/zoneinfo，得用time.Now().In(time.UTC)或 embed zoneinfo -
os/user.Lookup、user.Current()等函数在scratch中不可用，会 panic，应避免或兜底 - 若项目用了
github.com/mattn/go-sqlite3等 cgo 包，CGO_ENABLED=0会直接编译失败，此时只能退到alpine+musl-dev，并接受体积增大 - Docker 构建缓存失效常见于
go.mod变动后未分层 COPY：COPY go.mod go.sum ./必须在COPY . .之前，否则每次改代码都重拉所有依赖
最小体积不是终点，而是起点 —— 它逼你直面 Go 二进制在真实 Linux 环境中的行为边界。一旦跨过 scratch 这道坎，你就不会再随便往镜像里塞 curl 和 bash 了。
