go二进制默认静态链接且自包含，但需确认cgo_enabled=0；隐性依赖如exec、硬编码路径、平台特异性代码、外部配置文件、tls证书及dns解析需主动排查并用embed、netgo等方案解决。
go build 默认就是自包含，别急着加 CGO_ENABLED=0
Go 编译出的二进制默认静态链接，不依赖宿主机 libc、glibc 或 musl——只要没显式启用 cgo。你跑 go env CGO_ENABLED，结果是 0 就安全；如果是 1，才需要干预。
常见误操作：一上来就写 CGO_ENABLED=0 go build。这反而可能掩盖问题——比如你代码里调用了 exec.Command("git") 或读了 /etc/ssl/certs，禁用 cgo 并不能解决这些隐性依赖。
- 先确认是否真启用了 cgo：
go env CGO_ENABLED - 搜潜在外部调用：
grep -r "exec.Command\|os.StartProcess" ./ - 检查硬编码路径：
grep -r "/etc\|/usr/share\|/bin/" ./
交叉编译时 GOOS/GOARCH 不是万能解药
GOOS=linux GOARCH=arm64 go build 能产出目标平台二进制，但无法自动修复代码里的平台特异性逻辑。比如：
- 用了
// +build darwin的文件，在 linux 构建时会被忽略，可能导致功能缺失 - 依赖
golang.org/x/sys/unix里非通用接口（如unix.Kill在 Windows 不可用） - 硬编码了 Windows 路径分隔符
\，Linux 下直接 panic
真正可靠的做法：本地用目标平台容器验证，例如 docker run --rm -v $(pwd):/work -w /work golang:1.22-alpine go build，比单纯设环境变量更贴近真实运行环境。
embed 是资源自包含的唯一正解，别再放 config.yaml 在外边
把 config.yaml 放项目目录里，靠 os.ReadFile("config.yaml") 加载，等于放弃“自包含”——部署时必须同步传文件，出错概率陡增。
Go语言（Golang）1.26.0版本提供 Go 官方 Windows amd64 MSI 安装包下载入口，版本号 1.26.0，可用于旧项目维护、兼容性测试和指定版本开发环境配置。
Go 1.16+ 的 embed 是标准方案，不是可选项：
- 在代码顶部加
//go:embed config.yaml，声明var content embed.FS - 读取用
content.ReadFile("config.yaml")，路径是 embed 注释里的相对路径，不是运行时os.Getwd() - 调试阶段可用 build tag 切换：
//go:build !prod+os.ReadFile，上线时自动走 embed
注意：嵌入内容编译即固化，改配置必须重新 go build，没法热更新。
TLS 和 DNS 是最容易漏掉的隐性依赖
net/http 发 HTTPS 请求失败，报 x509: certificate signed by unknown authority，大概率不是证书问题，而是 Go 在目标系统找不到 CA 证书路径。Linux 查 /etc/ssl/certs，macOS 走 Keychain，Windows 查注册表——容器或精简系统往往缺这套信任链。
DNS 解析也类似：默认调 libc getaddrinfo，在 alpine 或无 libc 环境可能失败。
- 证书问题：用
http.DefaultTransport.(*http.Transport).TLSClientConfig.RootCAs显式加载 embed 的证书 bundle - DNS 问题：构建时加
-tags netgo，强制走纯 Go 实现，绕过 libc - 验证是否生效：
go build -ldflags="-s -w" -tags netgo，再扔进空 alpine 容器里跑./app
真正卡住人的，从来不是语法或命令怎么写，而是你以为 build 出来了就能跑，结果在目标机器上连 HTTPS 都发不出去——这种依赖藏得深，得主动挖，不能等报错才反应。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
