1. 课程导入与全景认知

在云原生时代，Go 语言凭借静态编译、单一二进制、启动快、内存占用低、并发模型简洁等特性，已经成为后端服务、网关、中间件、CLI 工具与云基础设施组件的主流实现语言。但“用 Go 写好一个服务”与“让这个服务稳定、可重复、可回滚地运行在生产环境”之间，仍隔着一条完整的工程链路：容器化、镜像构建、配置注入、持续集成、持续交付、发布策略与可观测性。本课程要解决的，正是这条链路上的工程化问题。

为什么 Go 服务特别适合容器化

Go 编译产物是静态链接的单一可执行文件，默认不依赖系统 libc（使用 CGO 时除外），因此可以放进极小的基础镜像中运行。一个典型的 Go HTTP 服务，编译后二进制可能只有 10～20 MB，配合 scratch 或 gcr.io/distroless/static 基础镜像，最终镜像可以控制在 20 MB 以内。这与 JVM、Node.js 等需要完整运行时和依赖树的方案相比，在镜像拉取速度、冷启动时间、攻击面控制上都有明显优势。

但“能放进容器”不等于“容器化做对了”。实际工程中常见的问题包括：镜像里混入了源码、测试文件、构建缓存甚至密钥；以 root 用户运行；没有设置健康检查导致滚动更新时流量打到未就绪实例；构建过程不可复现，同一份代码在不同机器上产出不同镜像。这些问题的根源往往不是 Go 语言本身，而是缺少一套标准化的容器化与交付流程。

CI/CD 在 Go 工程中的真实价值

持续集成（CI）的核心不是“自动跑一下测试”，而是把代码提交到可交付产物之间的每一步都变成可重复、可审计、可自动触发的动作。对 Go 服务而言，一条完整的 CI 流水线通常包含：代码检出、依赖下载与校验、静态检查、单元测试与覆盖率、编译构建、镜像构建与推送、安全扫描。持续交付（CD）则负责把已验证的镜像部署到目标环境，并处理配置、密钥、发布策略与回滚。

CI/CD 带来的价值可以归纳为三点。第一是一致性：本地能跑、CI 能过、生产能起，靠的是同一套构建命令和同一份 Dockerfile，而不是“我机器上是好的”。第二是可追溯：每个镜像都对应确定的 commit、构建时间、依赖版本，出问题时能快速定位是哪次变更引入的。第三是可回滚：发布不是一次性赌博，而是可以灰度、可以暂停、可以回退的受控过程。

典型工程场景与工具链全景

本课程覆盖的场景不是玩具项目，而是真实团队会遇到的组合：多服务仓库或单服务仓库、多环境（dev/staging/prod）配置差异、私有镜像仓库、Kubernetes 部署、灰度与蓝绿发布、构建缓存加速、镜像体积优化、供应链安全。工具链方面，我们会围绕以下核心组件展开：

• 容器运行时与镜像：Docker、containerd、多阶段构建、distroless/scratch 基础镜像。
• CI 平台：GitHub Actions、GitLab CI，以及自建 Runner 的缓存与并发控制。
• 构建与依赖：go build 的交叉编译与裁剪参数、Go Module 代理与校验、go test 与覆盖率。
• 镜像仓库：Harbor、GHCR、ECR，标签策略与不可变标签。
• 部署与编排：Kubernetes Deployment、Service、ConfigMap、Secret、探针与资源限制。
• 发布策略：滚动更新、蓝绿、金丝雀，以及基于指标的自动回滚。
• 可观测与安全：结构化日志、指标暴露、Trivy/Grype 镜像扫描、SBOM 生成。

这些组件不是孤立堆叠的，而是一条有方向的数据流：源码经过构建变成二进制，二进制进入镜像，镜像被推送和扫描，最终被部署到集群并暴露给流量。理解这条链路的方向和每一环的输入输出，是后续所有实操的基础。

从“能跑”到“可交付”的关键差异

很多开发者第一次把 Go 服务放进容器时，会写一个类似这样的 Dockerfile：

FROM golang:1.22
WORKDIR /app
COPY . .
RUN go build -o server .
CMD ["./server"]

这个写法能跑，但存在几个典型问题：镜像体积接近 1 GB，包含了完整 Go 工具链和源码；构建过程没有利用缓存，每次改一行代码都要重新下载依赖；以 root 运行；没有固定依赖版本，构建结果不可复现。一个更接近生产标准的写法是使用多阶段构建：

FROM golang:1.22 AS builder
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -trimpath -ldflags="-s -w" -o /out/server .

FROM gcr.io/distroless/static:nonroot
COPY --from=builder /out/server /server
USER nonroot:nonroot
EXPOSE 8080
ENTRYPOINT ["/server"]

这里的关键变化是：依赖下载与源码复制分离，利用层缓存；CGO_ENABLED=0 保证静态链接；-trimpath 去掉构建路径信息；-ldflags="-s -w" 去掉符号表和调试信息，通常能再减小 20%～30% 体积；最终镜像只包含二进制，以非 root 用户运行。这些细节会在后续章节逐一展开，但先建立“镜像不是随便打的，每一层都有工程含义”的认知非常重要。

本课程的学习方式

接下来的内容会沿着上面这张全景图逐步深入：先讲容器化基础与 Dockerfile 最佳实践，再讲 CI 流水线的设计与缓存优化，然后进入镜像仓库、Kubernetes 部署、发布策略与可观测性。每一节都会尽量给出可执行的命令、配置片段和判断标准，而不是停留在概念层面。你不需要一开始就记住所有工具，但需要建立一条清晰的主线：源码如何变成可追溯的镜像，镜像如何安全地到达生产，生产中的服务如何被观察和回滚。这条主线，就是本课程要交付的核心能力。