Go 容器化实战：多阶段 Dockerfile 把服务压成 15MB 安全镜像

为什么 Go 服务容易被打包成巨无霸镜像

Go 编译出来是零依赖的单文件二进制，但很多人直接用 golang 官方镜像作为运行环境，结果一个 hello world 服务镜像轻松破 1GB，还带着编译器和源码，既占空间又有攻击面。多阶段构建能把"编译"和"运行"彻底分开。

多阶段构建：编译一次，只带走二进制

第一阶段在 builder 里拉依赖、编译；第二阶段用一个几乎只有 libc 的 distroless 镜像，只 COPY 二进制进去。

# 阶段一：编译
FROM golang:1.22-alpine AS builder
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o /app ./cmd/server

# 阶段二：极简运行
FROM gcr.io/distroless/static-debian12
COPY --from=builder /app /app
USER nonroot:nonroot
EXPOSE 8080
ENTRYPOINT ["/app"]

两个不能省的关键点

CGO_ENABLED=0 必须开，否则二进制动态链接 glibc，丢进 scratch/distroless 会启动失败。-ldflags="-s -w" 去掉符号表和调试信息，通常能再砍掉 25% 体积。两者叠加，常见 Web 服务能压到 15MB 以内。

别忘了 .dockerignore

不忽略的话，本地 vendor、.git、node_modules 都会被送进构建上下文，既拖慢又可能把密钥带进去。至少忽略这几样：

.git
vendor
*.md
.env
Dockerfile
.dockerignore

构建与校验

用 buildx 一次产出多架构镜像，正好对接你之前用 cargo-zigbuild 做的跨平台思路，只不过这里交给 Docker 层：

docker buildx build --platform linux/amd64,linux/arm64 -t myapp:latest .
docker images myapp        # 看最终体积
docker run --rm --user 1000 myapp   # 确认非 root 能跑

小结

• 多阶段构建让运行镜像只含二进制，体积从 GB 级降到十几 MB。
• CGO_ENABLED=0 与 -s -w 是静态、瘦身的两个开关。
• distroless 比 alpine 更干净，且默认非 root 用户更安全。
• .dockerignore 避免把源码和密钥打进镜像。