go应用需禁用cgo、显式指定goos/goarch构建静态二进制；docker采用多阶段构建，运行时用scratch或alpine并以非root用户运行；须用signal.notify捕获sigterm，配合http.server.shutdown实现优雅退出。
Go 应用本身是静态编译的单二进制文件，Docker 化非常轻量，但容易因 CGO_ENABLED、GOOS、路径权限或信号处理不当导致容器启动即退出或无法响应请求。
构建阶段必须禁用 CGO 并显式指定目标平台
默认启用 CGO_ENABLED=1 会链接系统 libc，在 Alpine 镜像中直接报错 standard_init_linux.go:228: exec user process caused: no such file or directory；即使使用 Debian 基础镜像，也存在动态依赖风险。
- 始终在构建命令中加
CGO_ENABLED=0 - 显式指定
GOOS=linux GOARCH=amd64（或arm64），避免本地 macOS/Windows 构建产物混入 - 推荐写法：
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -a -ldflags '-extldflags "-static"' -o app .
Dockerfile 要用 multi-stage 且最小化运行时镜像
直接 FROM golang:1.22 运行会导致镜像体积超 1GB，且含大量非必要工具和 root 权限，不符合生产安全要求。
- 第一阶段用
golang:1.22-alpine编译（轻量、无包管理器干扰） - 第二阶段用
scratch或alpine:latest—— 若应用需解析 DNS 或调用getent等，选alpine；否则scratch更干净 - 务必
COPY --chown=nonroot:nonroot并以非 root 用户运行：USER nonroot:nonroot
容器内进程必须能正确接收 SIGTERM 并优雅退出
Go 默认不自动处理终止信号，Kubernetes 执行 kubectl delete pod 或 docker stop 后，进程可能被强制 kill，导致连接未关闭、数据库事务中断、临时文件残留。
立即学习“go语言免费学习笔记（深入）”；
- 用
signal.Notify捕获os.Interrupt和syscall.SIGTERM - 启动 HTTP server 时，用
srv.Shutdown()替代直接log.Fatal(srv.ListenAndServe()) - 示例关键片段：
srv := &http.Server{Addr: ":8080", Handler: mux}<br>done := make(chan os.Signal, 1)<br>signal.Notify(done, os.Interrupt, syscall.SIGTERM)<br>go func() {<br> <-done<br> srv.Shutdown(context.Background())<br>}()<br>log.Fatal(srv.ListenAndServe())
健康检查与端口暴露要匹配实际监听行为
EXPOSE 8080 只是文档声明，不影响实际网络；而 HEALTHCHECK 若检查路径未被路由注册，或检查逻辑阻塞，会导致容器被反复重启。
- 确保
ListenAndServe绑定的是:8080（不是localhost:8080，后者在容器内无法被外部访问） -
HEALTHCHECK推荐用curl -f http://localhost:8080/health || exit 1，并设--interval=10s --timeout=3s --start-period=30s - 若用
livenessProbein Kubernetes，避免与 readinessProbe 使用同一端点——健康检查失败应先影响 readiness，再触发 liveness 重启
最容易被忽略的是：Go 的 time.Now().UTC() 在 scratch 镜像中可能返回错误时间（因缺失 /usr/share/zoneinfo），若业务强依赖时区，要么换用 alpine 基础镜像，要么在构建时 embed 时区数据到二进制中。
