go项目docker多阶段构建的核心是分离编译与运行环境：第一阶段用golang:1.23-alpine静态编译（cgo_enabled=0 goos=linux goarch=amd64 -ldflags="-w -s"），第二阶段用alpine或scratch仅复制二进制，确保镜像轻量、安全、启动快。
Go 项目用 Docker 多阶段构建，核心就一件事：把编译环境和运行环境彻底分开。不是为了炫技，而是避免把 Go SDK、源码、测试文件、编译器全塞进生产镜像——那样动辄 800MB+，还带 root 权限和攻击面。
第一阶段：只编译，不运行
用 golang:1.23-alpine 这类轻量 SDK 镜像启动构建阶段，关键动作有：
- COPY go.mod 和 go.sum 先于源码：保证依赖下载层能复用缓存，改了 main.go 也不影响这一步
- RUN go mod download：显式拉取依赖，别让 go build 时顺带做，破坏缓存
-
显式设置编译参数：
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -ldflags '-w -s' -o /app/server ./cmd/main - 不 COPY . . 早于依赖步骤：否则任何代码改动都会让前面所有层失效
第二阶段：只运行，不编译
从 alpine:latest 或 scratch 启动新阶段，只拿上一阶段编译好的二进制：
minimax-mcp-docker版（适配极空间）
下载
MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。
-
用 alpine 更省事：自带
/etc/resolv.conf和基础 DNS 配置，HTTPS 请求默认可用（装ca-certificates即可） -
用 scratch 更极致：必须手动补证书（
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/）、补/etc/passwd（避免user.Current()崩溃）、补/dev/null等基础设备节点 - COPY --from=builder /app/server .：路径用绝对路径，别写相对路径或依赖阶段索引数字
必须验证的三件事
光写对 Dockerfile 不够，得确认最终产物真能跑：
-
静态链接是否生效：进容器执行
ldd ./server，输出not a dynamic executable才算过关 -
HTTPS 是否可用：如果报
x509 certificate signed by unknown authority，说明证书没拷对位置或没更新 -
DNS 是否通：如果
http.Get("https://api.example.com")报no such host，检查/etc/resolv.conf是否存在且有效
顺手加点实用优化
不是必须，但上线前建议加上：
-
非 root 用户运行：在第二阶段
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001，再USER appuser -
用 .dockerignore 排除无用文件：比如
.git、vendor/、*.md、testdata/ -
启用 BuildKit：构建时加
DOCKER_BUILDKIT=1 docker build .，支持--mount=type=cache加速依赖缓存
