go语言支持静态编译，需禁用cgo（cgo_enabled=0）以彻底剥离libc依赖，从而生成真正静态链接的二进制文件，可直接运行于scratch镜像。
静态编译是实现 docker 镜像极致瘦身最直接的方式——它让程序自身携带全部依赖，不再需要操作系统级别的共享库（如 glibc、openssl 等），从而可以运行在完全空白的镜像上。
确认语言是否支持静态编译
不是所有语言都默认支持或适合静态编译。关键看运行时是否能打包进二进制：
-
Go：默认静态链接，但需禁用 cgo（
CgoEnabled=0）才能彻底剥离 libc 依赖；否则仍会动态链接 musl 或 glibc -
Rust：启用
target = "x86_64-unknown-linux-musl"并使用musl工具链，可生成纯静态二进制 -
C/C++：用
gcc -static编译，但需确保所有依赖（如 curl、zlib）也以静态库形式提供 - Java/Node.js/Python：不适用静态编译，它们依赖 JVM、V8 或解释器，必须保留对应运行时环境
构建过程必须分离编译与运行阶段
即使程序能静态编译，Docker 构建仍要避免把编译工具链塞进最终镜像。多阶段构建是强制要求：
- 第一阶段：用完整工具链镜像（如
golang:1.21或rust:1.78）编译出静态二进制 - 第二阶段：用
FROM scratch（零字节基础镜像）或FROM alpine:latest（仅需 ca-certificates 时） - 只
COPY编译好的二进制文件，不复制源码、构建缓存、SDK 或包管理器
验证是否真正静态链接
别只信编译命令，要用 file 和 ldd 检查输出文件：
-
file ./myapp应显示statically linked -
ldd ./myapp应返回not a dynamic executable（若提示 command not found，说明你已在 alpine 或 scratch 中执行，这反而是好信号） - 在 scratch 镜像中运行失败？常见原因是缺少 SSL 证书或 DNS 解析支持——此时可在第二阶段加
RUN apk --no-cache add ca-certificates（改用 alpine），或显式挂载/etc/ssl/certs
慎用 scratch，优先考虑 distroless 或 alpine 作为折中
scratch 虽然体积为 0，但调试和排障几乎为零：
- 没有
sh、ls、ps，容器 crash 后无法 exec 进去查状态 - 没有日志重定向支持，stdout/stderr 可能丢失
- 推荐组合：
FROM gcr.io/distroless/static-debian12（Google 提供，含基础证书和最小工具）或FROM alpine:latest（5MB，带sh和apk，便于临时诊断）
