多阶段构建必须分离builder和runtime阶段：builder用golang:1.22-alpine编译静态二进制，需设cgo_enabled=0、goos=linux及-ldflags="-s -w"；runtime用alpine并安装ca-certificates，禁用root运行。
直接用 go build 编译再塞进 golang:latest 镜像，镜像会超 900MB 且默认 root 运行——这不是生产部署，是埋雷。
多阶段构建必须分清 builder 和 runtime 两个阶段
builder 阶段只干一件事：编译出静态二进制；runtime 阶段只放这个二进制和它真正需要的东西。两者不能混，也不能省。
-
FROM golang:1.22-alpine AS builder是合理起点：比golang:latest小，不含包管理器和 shell，减少攻击面 - 务必先
COPY go.mod go.sum再go mod download，利用 Docker 构建缓存加速依赖下载 -
COPY . .放在go mod download之后，避免每次改代码都重下依赖 - builder 阶段不需要
EXPOSE或HEALTHCHECK，那些是 runtime 阶段的事
CGO_ENABLED=0 和 GOOS=linux 不是可选项，是必须项
不加这两项，二进制会动态链接 libc，进 alpine 或 scratch 直接 panic：“standard_init_linux.go:228: exec user process caused: no such file or directory”。
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
-
CGO_ENABLED=0关闭 cgo，强制纯静态链接（注意：部分依赖如 SQLite 的某些驱动会失效，需确认兼容性） -
GOOS=linux确保跨平台构建一致性，Mac 或 Windows 上构建也能跑在 Linux 容器里 -
-ldflags="-s -w"去掉符号表和调试信息，通常能减小 30%–50% 体积 - 完整命令示例：
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o myapp .
alpine vs scratch：选哪个取决于你是否处理了运行时依赖
scratch 看起来最干净，但没证书、没 DNS 解析、没时区，HTTPS 请求和域名解析会直接失败。
- 用
alpine:latest：加RUN apk --no-cache add ca-certificates就够 HTTPS；加tzdata才能正确解析本地时间 - 用
scratch：必须显式复制证书文件，例如COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/；DNS 配置靠宿主或 k8s 注入/etc/resolv.conf，不能假设存在 - 别为了“更小”强行切 scratch，上线后
panic: lookup example.com: no such host比镜像大 5MB 更难 debug
忽略 .dockerignore 是最常被低估的体积膨胀源
没这个文件，Docker 会把 node_modules、.git、vendor、甚至 IDE 配置全打包进构建上下文——builder 阶段虽不 COPY，但上下文体积大拖慢整个构建。
- 至少包含：
.git、node_modules、vendor、*.md、README*、.DS_Store - Go 项目特别注意排除
go.sum以外的go.*文件（比如go.work），除非你真用到了 workspace - 如果用了
go mod vendor，确保vendor/在.dockerignore里被排除，否则COPY . .会把它也带进去
真正轻量的镜像不是靠删东西堆出来的，是靠明确每个字节的用途：builder 阶段只留编译所需，runtime 阶段只留运行必需。证书、DNS、时区、用户权限——这些不是“额外配置”，是 Go 程序在容器里活下来的基本条件。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
