生产环境Go镜像必须CGO_ENABLED=0静态编译，用scratch或alpine基础镜像；进程需优雅处理SIGTERM、实现/healthz健康检查；配置通过Secret/ConfigMap注入，禁止硬编码。
Go build 时必须关闭 CGO 和指定静态链接
生产环境容器镜像里通常没有 libc 等动态库，CGO_ENABLED=1 默认启用时，go build 会生成依赖系统 glibc 的二进制，一运行就报 standard_init_linux.go:228: exec user process caused: no such file or directory。
正确做法是强制静态编译：
CGO_ENABLED=0 go build -a -ldflags '-s -w' -o myapp .-
-a强制重新编译所有依赖（含标准库），确保无隐式动态链接 -
-s去除符号表，-w去除 DWARF 调试信息，减小体积且防逆向 - 不要依赖
go install或未加CGO_ENABLED=0的构建结果
Docker 镜像应基于 scratch 或 alpine，而非 debian/ubuntu
用 FROM golang:1.22 构建再 COPY 二进制到 FROM debian:slim 是常见但错误的做法——仍带入了不必要的包管理器、shell、动态库路径等攻击面和体积冗余。
推荐方案：
立即学习“go语言免费学习笔记（深入）”；
- 首选
FROM scratch：真正零依赖，镜像仅含你的二进制和必要配置文件（如ca-certificates需手动 COPY） - 次选
FROM alpine:latest：若需sh调试或依赖 musl 工具链（比如调用外部命令），但务必确认 Go 二进制是CGO_ENABLED=0构建的 - 避免在镜像中装
curl、bash、strace等调试工具——它们不该出现在生产镜像里
进程管理不能靠 docker run --restart，得用信号处理 + 健康检查
Docker 的 --restart=always 只负责拉起崩溃进程，不解决卡死、goroutine 泄漏、内存缓慢增长等问题。Golang 进程必须自己响应 SIGTERM 并优雅退出。
关键实践：
- 用
signal.Notify监听os.Interrupt和syscall.SIGTERM - 关闭 HTTP server 时调用
srv.Shutdown()，而非直接srv.Close() - 数据库连接池、消息队列消费者等资源需在 shutdown hook 中显式关闭
- 在
/healthz端点返回应用内部状态（如是否已初始化 DB、是否还在消费队列），供 KuberneteslivenessProbe调用
环境变量与配置必须分离，禁止硬编码或读取本地文件路径
生产环境配置（DB 地址、密钥、feature flag）绝不能写死在代码或 config.json 里。Kubernetes 中应通过 Secret 或 ConfigMap 挂载为环境变量或文件，代码只读 os.Getenv。
注意细节：
- 敏感字段如
DB_PASSWORD必须从Secret挂载，且挂载路径建议用/etc/secrets/db/password，避免泄露到环境变量列表 - 不要用
viper.ReadInConfig()自动猜路径，它容易误读开发机上的./config.yaml - 启动时校验必填环境变量，缺失则
log.Fatal并输出明确提示（如"missing required env: DATABASE_URL"） - 日志级别、采样率等可变参数也应走环境变量，而非重编译
真正麻烦的从来不是“怎么打包”，而是“怎么让同一个二进制在不同集群里安全、可观测、可中断地跑下去”——配置注入方式、信号语义、健康端点设计，这些地方出错，比编译失败更难排查。
