必须用多阶段构建，因单阶段镜像超800mb且含go编译器等无关文件，存在安全与体积风险；多阶段可将镜像压至20mb，通过cgo_enabled=0、goos=linux确保alpine兼容性，并需安装ca-certificates和tzdata、非root用户运行以保障生产可用性。
直接用 golang 镜像构建再扔进 alpine 运行，是 Gin 应用最稳妥的多阶段方案；别硬上 scratch，DNS 解析、时区、证书这些坑会卡你一整天。
为什么必须用多阶段构建
单阶段 Dockerfile 打包出来的镜像通常在 800MB 以上，里面塞着 Go 编译器、源码、mod 缓存、甚至 vim —— 这些东西生产环境完全不需要。更危险的是，攻击者能直接在容器里执行 go build 或读取 go.mod，安全边界形同虚设。
- 最终镜像只保留可执行文件 + 必要运行时依赖（如 CA 证书、tzdata）
- 构建阶段和运行阶段彻底隔离，
CGO_ENABLED=0避免 musl libc 兼容问题 - 镜像体积从 ~800MB 降到 ~20MB，拉取快、启动快、扫描漏洞少
CGO_ENABLED=0 和 GOOS=linux 必须同时设置
Gin 默认依赖 net 包做 DNS 解析，而 Alpine 使用 musl libc，不兼容 CGO 动态链接。一旦漏掉 CGO_ENABLED=0，编译出来的二进制在 Alpine 上会 panic： dial tcp: lookup example.com: no such host。
-
CGO_ENABLED=0强制 Go 使用纯 Go 实现的 net 包（支持 DNS over TCP fallback） -
GOOS=linux确保交叉编译目标一致，避免本地 macOS/Windows 构建出不可移植二进制 - 加
-ldflags="-w -s"去掉调试符号和 DWARF 信息，再省 2–3MB
运行阶段用 alpine:3.18，别碰 scratch
scratch 镜像确实最小（0B），但它没有 shell、没有 ls、没有 ca-certificates —— Gin 访问 HTTPS 外部服务（比如微信回调、支付网关）时会报错：x509: certificate signed by unknown authority。
- 用
alpine:3.18而不是最新版，因 3.18 是当前 LTS 版本，CVE 修复及时且稳定 - 必须显式安装
ca-certificates和tzdata：apk --no-cache add ca-certificates tzdata - 复制时区数据：
COPY --from=builder /usr/share/zoneinfo/Asia/Shanghai /usr/share/zoneinfo/Asia/Shanghai，否则time.Now()返回 UTC
非 root 用户运行不是可选项
Docker 默认以 root 启动容器，Gin 应用若监听 80 或写日志到根目录，就不得不开 root 权限 —— 这等于把整个容器 filesystem 暴露给应用代码。
- 用
adduser -D -g '' appuser创建无组、无 shell 的用户 -
chown appuser /root确保工作目录可写（比如 Gin 写 access log） -
USER appuser必须放在EXPOSE和ENTRYPOINT之前，否则权限不生效 - 如果用了
viper读配置，确保configs/目录也chown appuser
真正麻烦的不是写对 Dockerfile，而是验证它真能在 K8s Pod 里跑通：DNS 能解析吗？HTTPS 请求能过吗？时区显示对吗？日志写入权限够吗？每一条都得实测，光看 docker run 成功没用。
