Go微服务镜像可压至5–10MB，关键在于精准设置CGO_ENABLED=0和GOOS=linux、选用适配的基础镜像（scratch/alpine/distroless）、严格拆分多阶段构建并规避隐式依赖链，如DNS解析、证书、时区等。
Go 微服务镜像能压到 5–10MB 以内，关键不在“怎么写 Dockerfile”，而在编译参数、基础镜像选择和构建阶段拆分是否精准。盲目套用 alpine 或 scratch 反而容易出错——比如 DNS 解析失败、时区异常、证书缺失，这些都不是“镜像小了”就能忽略的问题。
CGO_ENABLED=0 和 GOOS=linux 必须显式设置
Go 默认启用 CGO，一旦调用系统库（如 net 包里的 DNS 解析），生成的二进制就依赖 libc。哪怕你用了 alpine，它用的是 musl libc，和标准 glibc 不兼容；更别说 scratch 根本没 libc。
-
CGO_ENABLED=0强制禁用 CGO，让 Go 自带纯 Go 实现的 DNS 解析、文件系统等逻辑生效 -
GOOS=linux明确目标平台，避免本地 macOS/Windows 编译出不可运行的二进制 - 这两个环境变量必须在
builder阶段的RUN命令里设置，不能只写在ENV里——因为go build是在 shell 中执行的，ENV对子 shell 不一定生效 - 错误示例：
RUN go build -o main .→ 可能悄悄链接 libc，运行时报standard_init_linux.go:228: exec user process caused: no such file or directory - 正确写法：
RUN CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-s -w' -o main ./cmd/api
用 scratch 还是 alpine？取决于你是否需要 ca-certificates 或 tzdata
scratch 确实最小（0MB），但它真的“空”——没有 /etc/hosts、没有证书、没有时区数据。只要你的服务要 HTTPS 调用外部 API，或用 time.LoadLocation("Asia/Shanghai")，就会 panic。
- 如果服务只监听 HTTP、不发外网请求、不解析域名、不处理带时区的时间：选
scratch，镜像体积可压到 4–6MB - 如果服务要调第三方 HTTPS 接口（比如微信支付回调验证、短信网关）：必须用
alpine+apk --no-cache add ca-certificates，体积约 8–12MB - 如果服务要解析域名（
net.LookupHost）、或依赖os/user等系统调用：优先选alpine，别碰scratch - 注意：
alpine:latest不稳定，固定用alpine:3.20或对应 Go 版本推荐的 Alpine 小版本（如 Go 1.21 推荐 Alpine 3.19）
多阶段构建中 COPY --from 的路径必须严格匹配 WORKDIR
很多镜像构建失败，不是语法错，而是路径对不上。Docker 多阶段构建不会自动继承前一阶段的 WORKDIR，COPY --from=builder 的源路径是相对于 builder 阶段的根目录（/），不是它当前的 WORKDIR。
- builder 阶段设了
WORKDIR /app，然后RUN go build -o main .→ 二进制生成在/app/main - 运行阶段写
COPY --from=builder /app/main .才对；写成COPY --from=builder /main .就会报 “not found” - 建议统一在 builder 阶段把输出路径写死：
RUN CGO_ENABLED=0 GOOS=linux go build -o /tmp/main ./cmd/api，运行阶段直接COPY --from=builder /tmp/main .，避免路径歧义 - 别用
COPY --from=builder . .，这会把 builder 阶段所有文件都拷过去，包括go.mod、测试文件，反而增大镜像
.dockerignore 文件漏掉 testdata 或 vendor 容易拖慢构建速度
Docker 构建时默认把当前目录整个打包传给 daemon，如果项目里有 testdata/、vendor/、node_modules/（混了前端代码）、甚至 docs/，构建上下文可能达百 MB。这不仅慢，还让 layer cache 失效更频繁。
- 至少包含：
.git、testdata、vendor、node_modules、*.md、Dockerfile - 特别注意：
go mod vendor后的vendor/如果没 ignore，每次go build都会触发 cache 失效（因为 vendor 内容变了） - 验证方式：运行
docker build --progress=plain . | grep "Sending build context"，看上传大小是否明显下降 - 不需要在
COPY . .前手动rm -rf vendor，.dockerignore更干净也更安全
真正决定镜像是否“最小”的，从来不是基础镜像名字，而是你有没有切断所有隐式依赖链——从 DNS 到证书，从时区到用户信息，每一条都得亲手确认过才敢上线。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
