推荐多阶段构建go web服务镜像：第一阶段用golang:1.22-alpine编译，加cgo_enabled=0、goos=linux、goarch=amd64及-ldflags="-s -w"；第二阶段用alpine:latest或scratch运行二进制，监听0.0.0.0:8080，实现/healthz健康检查并输出日志到stdout/stderr。
Go Web服务编译成静态二进制再 COPY 进 Alpine 镜像
直接在容器里 go build 会拉取大量依赖、增大镜像体积、延长构建时间，还可能因 Go 版本或 GOOS/GOARCH 不一致导致运行异常。推荐用多阶段构建：第一阶段用完整 Go 环境编译，第二阶段只保留二进制和必要运行时依赖。
关键点：
- 编译时加
-ldflags="-s -w"去除调试信息和符号表，减小体积 - 务必设置
CGO_ENABLED=0，避免动态链接 libc（Alpine 用的是 musl） - 显式指定
GOOS=linux GOARCH=amd64（或arm64），确保跨平台兼容 - 最终镜像用
alpine:latest或scratch（若确认无依赖，如不调用系统命令、不读取 /etc/resolv.conf 等）
FROM golang:1.22-alpine AS builder WORKDIR /app COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -a -ldflags="-s -w" -o server . FROM alpine:latest RUN apk --no-cache add ca-certificates WORKDIR /root/ COPY --from=builder /app/server . CMD ["./server"]
Docker 中的 Go Web 服务监听地址必须设为 0.0.0.0:8080
本地开发常写 http.ListenAndServe(":8080", nil)，这在容器里会失败——因为默认绑定 127.0.0.1:8080，仅限 localhost 访问，而 Docker 容器网络是隔离的，宿主机或其它容器无法连接。
必须显式绑定到所有接口：
立即学习“go语言免费学习笔记（深入）”；
- 改用
http.ListenAndServe("0.0.0.0:8080", nil) - 或更稳妥地用
net.Listen("tcp", ":8080")+http.Serve()，便于后续加 TLS、超时控制等 - 环境变量驱动端口：读取
os.Getenv("PORT")，默认 fallback 到"8080"，方便部署时注入
否则你会看到容器日志正常启动，但 curl http://localhost:8080 超时，docker logs 却没报错——这是最常被忽略的“静默失败”点。
如何让 Go Web 容器响应健康检查（Healthcheck）
Docker 的 HEALTHCHECK 指令需要容器内服务主动暴露一个可探测的 HTTP 端点，比如 /healthz。Go 本身不内置该功能，需手动实现简单 handler。
常见误区：
- 只返回 HTTP 200，但没做实际检查（如 DB 连通性、磁盘空间），导致健康检查“假阳性”
- handler 写成阻塞式（如同步查 DB 且无超时），拖垮整个健康探针
- 未设置
ReadHeaderTimeout/IdleTimeout，HTTP server 在长连接下无法及时响应 probe
建议最小可行实现：
http.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
ctx, cancel := context.WithTimeout(r.Context(), 2*time.Second)
defer cancel()
// 示例：轻量级检查（如 ping DB，带 ctx 控制超时）
if err := db.PingContext(ctx); err != nil {
http.Error(w, "db unreachable", http.StatusServiceUnavailable)
return
}
w.WriteHeader(http.StatusOK)
})
对应 Dockerfile 加一行：
HEALTHCHECK --interval=10s --timeout=3s --start-period=30s --retries=3 \ CMD curl -f http://localhost:8080/healthz || exit 1
日志输出必须走 stdout/stderr，别写文件
容器日志收集（如 docker logs、Fluentd、Loki）只捕获标准输出和标准错误。如果 Go 程序把日志写进 /var/log/app.log，这些日志就彻底丢失，且无法被 Kubernetes 的 kubectl logs 查看。
实操要点：
- 禁用任何
os.OpenFile(..., os.O_CREATE|os.O_WRONLY|os.O_APPEND)写日志文件的操作 - 用
log.SetOutput(os.Stdout)和log.SetFlags(0)精简格式（避免时间戳重复，因日志系统通常自带） - 结构化日志推荐用
zerolog或log/slog（Go 1.21+），输出 JSON 到 stdout，便于解析 - 错误日志走
os.Stderr（例如log.New(os.Stderr, "ERROR ", 0)），便于区分级别
容器里没有 “日志轮转” 概念，那是宿主机或日志系统的职责；你的程序只需保证每条日志原子输出、不缓冲、不写文件。
