Construir una aplicación Go

Go es el caso más limpio para las construcciones multi-etapa. Un programa Go compila a un único binario estático, así que la imagen de runtime no necesita nada más que ese archivo. Construye sobre la imagen go, copia el binario sobre static, y la imagen final es poco más que tu programa: sin conjunto de herramientas, sin shell, sin gestor de paquetes.

Esto construye sobre ghcr.io/quenchworks/images/go:1.25 y ghcr.io/quenchworks/images/static. La imagen static es la única imagen del catálogo etiquetada con :latest, porque no lleva ninguna versión de lenguaje propia.

El Dockerfile de dos etapas

1
# Build stage: compile a fully static binary.
2
FROM ghcr.io/quenchworks/images/go:1.25 AS build
3
WORKDIR /src
4

5
# CGO off makes the binary static so it runs on the static base with no libc.
6
# The root filesystem is read-only, so point the build caches at /tmp.
7
ENV CGO_ENABLED=0 \
8
    GOOS=linux \
9
    GOCACHE=/tmp/gocache \
10
    GOMODCACHE=/tmp/gomodcache
11

12
# Download modules first so the layer caches when only code changes.
13
COPY go.mod go.sum ./
14
RUN ["go", "mod", "download"]
15
COPY . .
16
RUN ["go", "build", "-trimpath", "-ldflags=-s -w", "-o", "/out/app", "./cmd/app"]
17

18
# Runtime stage: just the binary on the tiny static base.
19
FROM ghcr.io/quenchworks/images/static
20
COPY --from=build /out/app /app
21
USER 1001
22
EXPOSE 8080
23
ENTRYPOINT ["/app"]

Por qué esto se mantiene diminuto

Siguiente

• La misma base static funciona para cualquier lenguaje que compile a un binario estático, Rust incluido; construye con ghcr.io/quenchworks/images/rust y copia el binario.
• Fija por digest para que cada construcción ejecute exactamente la base que se escaneó y firmó.