distroless 镜像不包含 sh 等 shell 工具，仅保留运行 Go 二进制所需的最小依赖（如 libc、CA 证书、时区数据）；ENTRYPOINT 必须直接指向静态编译的二进制，禁用 CGO 并提前设置权限，选用合适变体（static/base/nonroot）并固定标签。
为什么 distroless 镜像启动就报 exec: "sh": executable file not found in $PATH
因为 distroless 镜像（如 gcr.io/distroless/static:nonroot）根本不带 shell、ls、sh 甚至 /bin/sh —— 它只保留运行 Go 二进制所需的最简依赖：libc（如果用 CGO）、证书路径、时区数据（可选）。你不能 docker exec -it container sh，也不能在 ENTRYPOINT 里写 ["sh", "-c", "..."]。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- Go 编译时加
-ldflags="-s -w"去符号表和调试信息，减小体积 - 禁用 CGO：
CGO_ENABLED=0 go build，避免动态链接 libc，让二进制真正静态可执行 -
ENTRYPOINT必须直接指向你的 Go 二进制，例如["/app/server"]，不能包装在 shell 中 - 如果需要初始化逻辑（如等待 DB），用 Go 自己写健康检查或重试，别依赖
sh -c 'sleep 2 && curl...'
如何选对 distroless 基础镜像：static vs base vs nonroot
Google 维护的 distroless 镜像有多个变体，选错会导致权限错误或证书不可用。核心区别不在“有没有 bash”，而在“有没有 /etc/ssl/certs 和 /usr/share/zoneinfo”。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 纯静态 Go 程序（
CGO_ENABLED=0）→ 用gcr.io/distroless/static:nonroot（最小，1.7MB） - 需要 HTTPS 请求（比如调第三方 API）→ 必须用
gcr.io/distroless/base:nonroot（含 CA 证书，约 15MB） - 需要解析域名（
net.Resolver）且容器内没配 DNS →base也够，但得确保/etc/resolv.conf被正确挂载或继承 - 别用
:latest标签，固定为:nonroot或具体 SHA，避免非预期的 root 用户变更
Dockerfile 里 COPY 二进制后 chmod 失败？
distroless 镜像默认以非 root 用户（UID 65532）运行，但如果你在构建阶段用 COPY --chown 或 RUN chmod，会因镜像里没有 chmod 命令而失败 —— 它压根没这个可执行文件。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- Go 二进制编译完，在宿主机上提前
chmod +x server，再 COPY 进去 - Dockerfile 中用
COPY server /app/server即可，不要加--chown（distroless 没 user/group 数据库） - 用
USER 65532:65532显式声明运行用户，避免误用 root（即使基础镜像叫nonroot，Docker 默认仍可能以 root 启动） - 验证方式：运行容器后
docker inspect container | grep -i user，确认是数字 UID，不是root
怎么验证 distroless 镜像真没多余东西？
别信文档，自己 docker run 进去看。但 distroless 不让你 sh，所以得换招。
实操建议：
立即学习“go语言免费学习笔记（深入）”；
- 用
docker run --rm -it <image> ls -al /，看是否只有/app、/dev、/etc（极简）、/proc等必要目录 - 查证书是否存在：
docker run --rm <image> ls /etc/ssl/certs/ca-certificates.crt（base 镜像应存在，static 镜像没有） - 检查二进制依赖：
docker run --rm <image> ldd /app/server→ 如果提示not a dynamic executable，说明是纯静态；如果报错command not found，正好印证没ldd，符合预期 - 用
trivy image <image>扫描漏洞，distroless 的 CVE 数量通常比 alpine 少一个数量级
真正难的不是构建，是接受“没法进容器 debug”这件事——日志必须打全，HTTP 健康端点必须暴露，panic 时要写堆栈到 stderr。否则一出问题，你就只能改代码、重编译、重推镜像。
