必须禁用cgo并静态编译，否则镜像启动必报“no such file or directory”；多阶段构建中build阶段用golang:alpine，run阶段优先选scratch或alpine，且需显式指定goos/goarch、监听0.0.0.0、处理sigterm、以nonroot用户运行。
Go 应用做不可变二进制包封装，本质就是构建一个静态、无依赖、只含可执行文件的 Docker 镜像——不是“能不能”，而是“不按以下几条做，镜像大概率启动失败或被 kill”。
CGO_ENABLED=0 是硬性前提，不是可选项
默认开启 CGO 会导致二进制链接 libc，在 scratch 或 alpine 中直接报错：standard_init_linux.go:228: exec user process caused: no such file or directory。这不是路径问题，是动态链接器缺失。
- 必须在构建命令中显式写死：
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -a -ldflags '-s -w -extldflags "-static"' -o app . -
GOOS和GOARCH不能靠本地环境推断，尤其 Windows/macOS 开发时，必须显式指定目标平台 - 如果用了
cgo功能（如 DNS 解析、sqlite），改用纯 Go 实现（net/lookup替代cgoDNS）或切到alpine基础镜像并安装musl-utils
多阶段构建必须拆开 build 和 run，且 run 阶段禁用 root
把 golang:alpine 当运行镜像是最常见误操作——镜像体积超 1GB，含 apk、git、gcc 等完全不需要的工具，且默认以 root 运行，违反最小权限原则。
- build 阶段用
golang:1.22-alpine AS builder，只做编译和依赖下载 - run 阶段优先选
scratch；若需 DNS 或时区支持，用alpine:latest并加apk add --no-cache tzdata - 必须加
COPY --chown=nonroot:nonroot，并在镜像末尾声明USER nonroot:nonroot（提前创建该用户）
HTTP Server 必须监听 0.0.0.0:$PORT，且捕获 SIGTERM
监听 localhost:8080 在容器内等同于“只给自己听”，外部请求根本进不来；不处理 SIGTERM 会导致 Kubernetes 或 docker stop 强杀进程，连接中断、事务丢弃、临时文件残留。
- Listen 地址必须是
:8080或0.0.0.0:8080，不能带localhost - 用
signal.Notify(done, os.Interrupt, syscall.SIGTERM)捕获信号 -
srv.Shutdown()要传入带超时的context.WithTimeout，否则可能卡住 -
EXPOSE只是文档作用，真正影响网络的是docker run -p和应用监听地址是否匹配
健康检查路径必须真实存在且非阻塞
HEALTHCHECK 如果指向未注册路由，或检查逻辑里调了数据库但 DB 连不上，Docker 会反复重启容器——看起来是“启动成功”，实则是健康探针失败后自动拉起新实例。
- 检查端点（如
/healthz）必须在 HTTP mux 中明确注册 - 检查逻辑应仅返回状态码，不做耗时操作（如查 DB、读大文件）
- 建议用
curl -f http://localhost:8080/healthz || exit 1，避免 shell 语法错误导致探针永远成功 - 若用
scratch镜像，无法用curl，需改用 Go 写一个轻量探针二进制或放弃HEALTHCHECK改由上层（K8s）做
不可变包的核心不在“打包动作”，而在“构建参数、镜像分层、信号处理、监听地址”这四个点全部对齐——漏掉任何一个，镜像就只是个看似能跑、实则脆弱的幻觉。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
