Docker 多阶段构建在 Go 项目中如何用

Go项目Docker多阶段构建的核心是分离编译与运行环境：第一阶段用golang:1.23-alpine静态编译（CGO_ENABLED=0 GOOS=linux GOARCH=amd64 -ldflags="-w -s"），第二阶段用alpine或scratch仅复制二进制，确保镜像轻量、安全、启动快。

Go 项目用 Docker 多阶段构建，核心就一件事：把编译环境和运行环境彻底分开。不是为了炫技，而是避免把 Go SDK、源码、测试文件、编译器全塞进生产镜像——那样动辄 800MB+，还带 root 权限和攻击面。

第一阶段：只编译，不运行

用 golang:1.23-alpine 这类轻量 SDK 镜像启动构建阶段，关键动作有：

1. COPY go.mod 和 go.sum 先于源码：保证依赖下载层能复用缓存，改了 main.go 也不影响这一步
2. RUN go mod download：显式拉取依赖，别让 go build 时顺带做，破坏缓存
3. 显式设置编译参数：CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -ldflags '-w -s' -o /app/server ./cmd/main
4. 不 COPY . . 早于依赖步骤：否则任何代码改动都会让前面所有层失效

第二阶段：只运行，不编译

从 alpine:latest 或 scratch 启动新阶段，只拿上一阶段编译好的二进制：

1. 用 alpine 更省事：自带 /etc/resolv.conf 和基础 DNS 配置，HTTPS 请求默认可用（装 ca-certificates 即可）
2. 用 scratch 更极致：必须手动补证书（COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/）、补 /etc/passwd（避免 user.Current() 崩溃）、补 /dev/null 等基础设备节点
3. COPY --from=builder /app/server .：路径用绝对路径，别写相对路径或依赖阶段索引数字

必须验证的三件事

光写对 Dockerfile 不够，得确认最终产物真能跑：

1. 静态链接是否生效：进容器执行 ldd ./server，输出 not a dynamic executable 才算过关
2. HTTPS 是否可用：如果报 x509 certificate signed by unknown authority，说明证书没拷对位置或没更新
3. DNS 是否通：如果 http.Get("https://api.example.com") 报 no such host，检查 /etc/resolv.conf 是否存在且有效

顺手加点实用优化

不是必须，但上线前建议加上：

1. 非 root 用户运行：在第二阶段 RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001，再 USER appuser
2. 用 .dockerignore 排除无用文件：比如 .git、vendor/、*.md、testdata/
3. 启用 BuildKit：构建时加 DOCKER_BUILDKIT=1 docker build .，支持 --mount=type=cache 加速依赖缓存