Docker 多阶段构建实战：把 Go 服务镜像从 1.1GB 压到 12MB

介绍 Docker 多阶段构建原理，通过交叉编译与最小化运行时镜像，将大型 Go 服务镜像体积压缩一个数量级，兼顾部署效率与安全面。

微服务在云环境中最常被诟病的点之一是镜像体积过大。以一个典型的 Go 服务为例，若直接用 golang:1.21 构建，镜像常常超过 1GB，拉取慢、占用存储、还扩大了攻击面。本文介绍如何用一个 Dockerfile 内的多阶段构建，把产物压到 10MB 级别。

核心思路是把「构建阶段」和「运行阶段」拆开：构建阶段用完整工具链编译出二进制，运行阶段只丢进一个极简基础镜像。下面是一个可直接套用的示例：

FROM golang:1.21 AS builder
WORKDIR /src
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o /app .

FROM gcr.io/distroless/static
COPY --from=builder /app /app
ENTRYPOINT ["/app"]

几个关键点：一是 -ldflags="-s -w" 去掉符号表和调试信息，能再瘦几 MB；二是用 distroless 或 scratch 作为运行层，它没有 shell，进一步降低了被入侵后的立足点。实践中，我们把某网关服务从 1.1GB 压到 12MB，kubectl rollout 的拉取耗时也从 40 多秒降到 2 秒以内。

需要注意的坑：distroless 没有 bash，调试时 kubectl exec 会失败，建议平时配好日志和探针，或临时切回 alpine 排障。此外，如果你的服务依赖 cgo 或动态库，多阶段策略要相应调整，必要时把依赖库一并拷进运行层。这套方法对所有静态编译语言（Go、Rust 等）都适用，是 CI/CD 里性价比最高的一招。