必须用多阶段构建，因为单阶段会将go编译器、模块缓存和调试符号等冗余内容打包进生产镜像（达300mb+），而多阶段可分离构建与运行环境：第一阶段用golang:alpine编译，第二阶段仅复制cgo_enabled=0生成的静态二进制到scratch或alpine镜像，并通过-ldflags="-w -s"减小体积、显式复制证书、创建非root用户确保安全合规。
Go 应用直接编译成静态二进制，天然适合容器化——但写错 Dockerfile 会导致镜像体积翻倍、启动失败、证书缺失或权限报错，不是“能跑就行”。
为什么必须用多阶段构建
单阶段 FROM golang:alpine 直接构建并运行，会把 Go 编译器、/go/pkg/mod、调试符号全塞进最终镜像，动辄 300MB+。而生产环境只需要一个无依赖的可执行文件。
- 第一阶段（
builder）只负责下载依赖和编译：用golang:1.22-alpine，COPY go.mod go.sum ./必须在COPY . .之前，否则 Docker 缓存失效 - 第二阶段（运行时）必须用最小基础镜像：
FROM scratch最干净，但需手动复制ca-certificates.crt；FROM alpine:latest更省事，但要加apk --no-cache add ca-certificates - 关键编译参数不能少：
CGO_ENABLED=0 GOOS=linux go build -ldflags="-w -s"——-w去除调试信息，-s去除符号表，二者能让二进制小 30%~50%
scratch 镜像下 HTTPS 请求失败怎么办
用 FROM scratch 启动后调用外部 HTTPS 接口（比如微信回调、支付网关）报 x509: certificate signed by unknown authority，不是代码问题，是缺根证书。
- 别在
scratch里装ca-certificates（它根本没包管理器），正确做法是在构建阶段把证书文件显式复制过去：COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ - 验证是否生效：进容器执行
ls -l /etc/ssl/certs/ca-certificates.crt，再curl -v https://httpbin.org/get看是否返回 200 - 如果项目用了自签名证书或内网 CA，得额外
COPY your-ca.crt /etc/ssl/certs/并运行update-ca-certificates（此时就得换alpine而非scratch）
如何避免以 root 用户运行 Go 进程
Docker 默认以 root 启动，但安全策略（如 Kubernetes PodSecurityPolicy 或 OpenShift SCC）会拒绝 root 容器。硬编码 USER 又容易因目录权限导致启动失败。
- 构建阶段不用改用户，专注编译；运行阶段才切：
RUN adduser -D -u 1001 appuser创建固定 UID 的用户（K8s 要求非 root UID 可预测） -
COPY二进制后立刻RUN chown appuser:appuser /app/main，再USER appuser，否则进程无权读取自身文件 - 不要用
USER 1001这种数字写法——不同 base image 的 UID 映射可能冲突，明确用用户名更稳 - 验证方式：容器启动后
ps aux | grep main，看 USER 列是不是appuser
本地构建快，CI 构建慢？检查 go mod cache 复用
CI 流水线每次从头 go mod download 占据 60%+ 构建时间，尤其当 go.sum 有上百个依赖时。
- 拆出独立
deps阶段：FROM golang:1.22-alpine AS deps→COPY go.mod go.sum .→RUN go mod download - 在
builder阶段用COPY --from=deps /go/pkg/mod /go/pkg/mod复用缓存，跳过网络拉取 - GitLab CI 或 GitHub Actions 中，给
/go/pkg/mod配置缓存路径，比单纯复用 stage 更可靠 - 注意：
go mod verify建议加在deps阶段末尾，防止被篡改的依赖混入
最易被忽略的点：很多团队把 EXPOSE 8080 当作端口绑定，其实它只是文档注释；真正生效的是运行容器时的 -p 8080:8080 或 K8s 的 containerPort。别指望 EXPOSE 能打开防火墙或绕过 SELinux 限制。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
