无根容器运行Fiber需静态编译（CGO_ENABLED=0）、监听高位端口（≥1024）、显式指定静态文件与日志路径、禁用Unix socket、避免访问/root-only路径，并使用纯Go数据库驱动。
无根容器（rootless container）里装 Fiber，核心就一条：别碰 root 权限，Go 二进制静态编译 + 非特权端口 + 显式路径控制，全链路避开 /var/run、/etc、/sys 等需要 root 的位置。
go build 必须加 CGO_ENABLED=0 和 -ldflags="-s -w"
无根容器默认禁用动态链接（尤其 musl 或 glibc 不一致），CGO 启用后会尝试调用系统 resolver、user lookup 等，直接 panic。不关它，go build 出来的二进制在 rootless Podman 或 Docker Desktop 的 rootless 模式下大概率启动失败，报 failed to initialize context: unable to resolve user 或 no such file or directory（找不到 libc.so）。
- 正确命令：
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -ldflags="-s -w" -o server . - 如果项目用了
database/sql+github.com/lib/pq或mysql驱动，必须换为纯 Go 实现的驱动，比如github.com/jackc/pgconn或github.com/go-sql-driver/mysql（它们支持CGO_ENABLED=0） - 别信
go run main.go能跑通就以为没问题——它绕过构建阶段，掩盖了 CGO 问题，上线一部署就崩
监听端口只能选 1024 以上
Fiber 默认 app.Listen(":3000") 是安全的，但如果你写成 ":80" 或 ":443"，在 rootless 容器里会直接 panic 报 listen tcp :80: bind: permission denied。这不是 Fiber 的 bug，是 Linux capability 限制：非 root 进程无法绑定低于 1024 的端口。
- 开发时统一用
":3000"、":8080"这类高位端口 - 生产部署若需暴露 80/443，靠反向代理（Caddy/Nginx）转发，Fiber 只监听
127.0.0.1:3000，不对外暴露 - 别在代码里硬编码端口，用
os.Getenv("PORT")读取，容器启动时传-e PORT=3000
静态文件和日志路径必须显式指定可写目录
无根容器的 rootfs 是只读的，app.Static("/static", "./public") 如果 ./public 在镜像里是只读层，Fiber 内部缓存尝试写入临时文件就会失败；同理，fiber.Logger() 默认往 stdout 写还行，但若你配了 log.New(os.Stderr, ...) 并试图轮转到 /var/log/app.log，会因路径不可写 panic。
- 静态资源：把
./public挂载为 volume，或构建时 COPY 到镜像的/app/public，然后app.Static("/static", "/app/public") - 日志：彻底禁用
fiber.Logger()，改用log.Printf或zerolog.New(os.Stderr)，所有输出走 stderr，由容器运行时捕获 - 临时目录（如上传文件暂存）：用
os.MkdirAll("/tmp/uploads", 0755)，并确保容器启动时挂载了可写/tmp（Podman 默认支持，Docker Desktop rootless 需加--tmpfs /tmp）
Redis / 数据库连接要关掉 Unix socket 路径自动发现
很多 Go DB/Cache 库（比如 github.com/go-redis/redis/v9）在没配 Addr 时会 fallback 到 /var/run/redis.sock，这个路径在 rootless 容器里根本不存在，也不该存在——它属于宿主机 root 权限域。
- Redis 连接字符串必须显式写成
redis://redis:6379/0，不能留空或依赖默认 socket - PostgreSQL 连接字符串禁止用
host:/var/run/postgresql，必须用host=postgres port=5432 - 检查所有第三方库初始化逻辑，搜
os.Stat、os.OpenFile、unix.Dial相关调用，确认没偷偷访问 root-only 路径
最容易被忽略的是：无根容器里 /proc/self/exe 不可读，某些调试库或配置加载器会尝试读它来定位 config.yaml 路径——结果 panic。解决方案不是修权限，而是彻底改用环境变量或显式传入绝对路径。
