使用Docker将Golang应用容器化，核心思路是把源码编译成独立二进制，再放进极小的运行镜像。Go语言默认静态链接的特性，让我们不必携带语言运行时，因此镜像可以远比传统语言精简。下面从实际构建流程出发，逐步说明关键配置与常见做法。
一、为什么Golang适合容器化
Golang编译产出的是原生机器码，默认情况下依赖极少。在Linux平台关闭CGO之后，生成的二进制文件不依赖外部glibc等动态库，可以直接在空白系统上运行。这种特性与容器轻量化的目标天然契合，我们不需要像Java那样装JRE，也不像Python要带解释器和虚拟环境。
从交付角度看，一个构建好的Go服务镜像应当只包含二进制和必要配置。如果随手用golang:latest作为最终镜像，就会把编译器、源码、各种构建工具全部打进去，导致镜像体积膨胀且攻击面扩大。理解这一点，才能明白后面多阶段构建的价值。
二、编写基础Dockerfile
最直观的方式是单阶段构建：在Go镜像里编译，然后直接以该镜像为运行环境。下面是一段简单示例，假设项目根目录有main.go，且使用Go模块管理依赖。
FROM golang:1.22 WORKDIR /app COPY go.mod ./ COPY go.sum ./ RUN go mod download COPY . . RUN go build -o server main.go CMD ["/app/server"]
这段Dockerfile先拉取官方Go 1.22镜像，设置工作目录，利用go.mod和go.sum做依赖缓存，再复制源码编译出名为server的可执行文件，最后以它作为启动命令。在本地执行docker build -t go-demo .就能得到镜像。
但这种写法的问题在于最终镜像包含了Go工具链和源码，体积通常在八百兆以上。对于生产环境，我们应当只保留二进制。这就引出了多阶段构建。
三、多阶段构建压缩镜像
多阶段构建允许在一个Dockerfile里定义多个FROM，前面阶段负责编译，后面阶段只复制产物。以下示例将最终镜像换成scratch，即完全空白的系统。
FROM golang:1.22 AS builder WORKDIR /build COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux go build -o app main.go FROM scratch COPY --from=builder /build/app /app COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/ CMD ["/app"]
这里第一段命名为builder，编译时设置CGO_ENABLED=0确保静态链接，并指定GOOS=linux。第二段从scratch开始，仅把二进制和CA证书复制进来。CA证书是为了让程序在访问HTTPS外部服务时能验证证书，若你的应用不联网可省略。
使用scratch镜像体积可以控制在十兆左右，但缺点是不能执行任何shell命令，调试困难。如果希望保留基础工具，可将运行阶段换成alpine:3.19，体积约二十兆，且能用apk装少量依赖。
四、处理配置与静态资源
很多Go服务通过环境变量或配置文件读取参数。在容器中推荐用环境变量注入，避免把敏感信息写死进镜像。例如编译时无需改动代码，运行容器时加-e PORT=8080即可。
若程序需要打包模板、图片等静态文件，应在构建阶段一并复制进最终镜像。下面展示在alpine阶段补充资源的写法：
FROM golang:1.22 AS builder WORKDIR /build COPY . . RUN CGO_ENABLED=0 go build -o app main.go FROM alpine:3.19 WORKDIR /root COPY --from=builder /build/app . COPY --from=builder /build/templates ./templates EXPOSE 8080 CMD ["./app"]
注意COPY指令的源路径在builder阶段必须存在，否则构建会报错。静态资源最好也通过.go嵌入（embed）方式编译进二进制，这样连复制步骤都省了，进一步降低镜像复杂度。
五、在CI中复用构建逻辑
本地能跑的Dockerfile同样适用于GitHub Actions、GitLab CI等平台。关键是将构建缓存和推送步骤脚本化。例如一段简化的CI命令：
docker build -t ipipp.com/golang/app:1.0 . docker push ipipp.com/golang/app:1.0
这里把示例仓库域名替换成了ipipp.com，实际应填写你的私有仓库地址。CI中可开启BuildKit提升并行效率，并利用层数缓存加速重复构建。只要Dockerfile结构稳定，每次提交触发的镜像差异只包含业务代码部分。
此外，建议在CI里加镜像扫描步骤，检查基础镜像漏洞。即便用了scratch，也无法避免二进制自身引入的隐患，定期更新Go版本重建镜像是必要习惯。
六、常见误区与排查
新手常犯的错误是在容器里用绝对路径写日志却忘了挂载卷，导致容器销毁后日志丢失。还有人直接在代码里监听localhost，而容器网络栈独立，应监听0.0.0.0才能被外部访问。
另一个坑是时区问题。scratch和alpine默认UTC，若业务依赖本地时间，需在运行阶段设置TZ环境变量或复制zoneinfo。使用alpine时可执行apk add tzdata，scratch则要从builder复制/usr/share/zoneinfo目录，并在代码中加载。
综合以上，Golang容器化并不复杂，把握静态编译、多阶段、最小运行环境三条原则，就能构建出安全又轻量的交付物。后续可结合docker-compose或Kubernetes做编排，让服务真正跑在集群中。