go多阶段构建可将镜像压至5–15mb：build阶段用golang镜像编译，run阶段用alpine或scratch仅含静态二进制；需禁用cgo、裁剪符号、挂载缓存、忽略无关文件、创建非root用户。
go 语言天然适合多阶段构建——编译产物是静态二进制，不依赖系统 c 库，运行时只需一个干净的执行环境。配合 docker 多阶段构建，能直接剥离编译工具链、源码、依赖缓存等所有非必要内容，最终镜像可压至 5–15 mb，且无 root 权限、无调试工具、无攻击面。
核心思路：两个阶段各司其职
第一阶段（build）专注编译：用完整 golang 镜像下载依赖、校验模块、执行构建；
第二阶段（run）只留二进制：用 alpine 或 scratch 镜像，仅 COPY 编译好的可执行文件，零冗余。
- 构建阶段不 COPY 源码到镜像？可以——改用
--mount=type=bind挂载本地 go.mod/go.sum，避免重复 COPY 触发缓存失效 - 构建时加
CGO_ENABLED=0 GOOS=linux，确保生成纯静态二进制，不链接 libc - 加
-ldflags="-s -w"去除符号表和调试信息，体积再减 20%～30%
推荐写法：带缓存优化的精简版 Dockerfile
以下结构已在生产环境验证，常规项目构建耗时稳定在 20 秒内：
- 用
ARG参数化 Go 和 Alpine 版本，便于统一升级 -
go mod download单独 RUN，并挂载/go/pkg/mod缓存，后续构建跳过依赖下载 - 编译命令不 COPY 整个目录，而是直接
go build -o /bin/app ./cmd/xxx，路径明确、语义清晰 - 运行阶段用
alpine:3.20（非 latest），显式添加 ca-certificates，避免 HTTPS 请求失败
进阶选择：scratch 镜像更极致
若确认程序不调用任何系统调用（如不读取 /etc/resolv.conf、不依赖时区数据），可将第二阶段换成 FROM scratch：
- 最终镜像大小常低于 7 MB，真正“只含一个二进制”
- 需手动处理时区：编译时嵌入 tzdata，或启动前挂载宿主机 /usr/share/zoneinfo
- 无法使用 apk、sh、ls 等调试命令——适合已充分测试、追求最小攻击面的生产服务
别漏掉三个关键细节
极简不是删减功能，而是剔除干扰项：
-
.dockerignore 必须包含
/vendor、.git、README.md、Makefile等，否则 COPY . 会拖慢构建并污染缓存 - 运行阶段建议创建非 root 用户：
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001，再USER appuser - 用
EXPOSE声明端口只是文档作用；真正生效靠应用监听逻辑，但加上有助于镜像可读性与编排平台识别
