Golang打镜像 Dockerfile的写法

引言 #

对于dockerfile而言，何为完美? 我认为应该满足以下三点：

体积小
构建快
够安全

PS: 注意！从 Docker 17.05 版本起， Docker 才开始支持容器镜像的多阶段构建(multi-stage build)，所以本文所使用 docker 版本必须高于 17.05 （多阶段构建的意思就是把编译的过程也放同一个 Dockerfile 里，不用在自己的开发机或服务器上编译，再把编译出的二进制程序打入镜像）

可联网的环境 #

根据官方的说法，从 Go 1.13 开始，模块管理模式将是 Go 语言开发的默认模式。

我们使用go mod 做包管理，就不需要有任何额外配置

FROM golang:1.13.5-alpine3.10 AS builder

WORKDIR /build
RUN adduser -u 10001 -D app-runner

ENV GOPROXY https://goproxy.cn
COPY go.mod .
COPY go.sum .
RUN go mod download

COPY . .
RUN CGO_ENABLED=0 GOARCH=64 GOOS=linux go build -a -o your-application .

FROM alpine:3.10 AS final

WORKDIR /app
COPY --from=builder /build/your-application /app/
#COPY --from=builder /build/config /app/config
COPY --from=builder /etc/passwd /etc/passwd
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/

USER app-runner
ENTRYPOINT ["/app/your-application"]

逐行拆解 这里的拆解完全引用手把手教你写一个完美的Golang Dockerfile

首先，这个dockerfile分为builder和final两部分。

builder 选择了 golang:1.13.5-alpine3.10 作为编译的基础镜像，相比于 golang:1.13 , 一方面是因为它体积更小，另一方面是我发现 golang:1.13 的编译结果，在 alpine:3.10 中会报 not found 的错误，虽说有人提供了其它的解决方案，但是能直接避免，为啥不避免呢。

RUN adduser -u 10001 -D app-runner

接着是创建了一个 app-runner 的用户, -D 表示无密码。

此用户的信息是是需要拷到 final 中，作为应用程序的启动用户。这是为了避免使用 container 中的默认用户 root ，那可是有安全漏洞的，详细解释，可以参考这篇 medium 上的文章 Processes In Containers Should Not Run As Root

再下面的四行，

ENV GOPROXY https://goproxy.cn
COPY go.mod .
COPY go.sum .
RUN go mod download

是配置了国内的代理，安装依赖包了。这里用 go mod download 的好处是下次构建镜像文件时，当go.mod和go.sum没有改变时，它是有缓存的，可以避免重复下载依赖包，加快构建。

builder的最后，就是把当前目录的文件拷过去，编译代码了。

COPY . .
RUN CGO_ENABLED=0 GOARCH=64 GOOS=linux go build -a -o your-application .

final 选择了 alpine:3.10 ,一方面是体积小，只有 5m ；另一方面也是和构建镜像的 alpine 版本保持一致。

接下来几行没啥说的，就是把构建结果、配置文件（有的话）和用户的相关文件拷过去。

下面的这步一定不要忘记了，

USER app-runner

没有它， container 启动时就是用 root 用户启动了!!! 如果被攻击了，那黑客可是就有 root 权限了（不要问我为啥会被攻击）。

最后，设置一个 ENTRYPOINT ，完事!

如果你程序的启动过程比较复杂，或者是要在启动时根据环境变量的值做不同的操作，那还是写个 shell 文件吧。

离线打包 #

# Building stage
FROM golang:1.13.5-alpine3.10 AS builder

WORKDIR /build/src/your-application
RUN adduser -u 10001 -D app-runner

ENV GO111MODULE off
ENV GOPATH /build

COPY . .

RUN CGO_ENABLED=0 GOOS=linux GOARCH=64 go build -a -o your-application  main.go
#RUN CGO_ENABLED=0 GOOS=linux GOARCH=arm64 go build -o your-application main.go

# Production stage
FROM alpine:3.10 AS final

WORKDIR /app

COPY --from=builder /build/src/your-application/example/linux /app
COPY --from=builder /build/src/your-application/your-application /app
#COPY --from=builder /build/src/your-application/conf /app/conf

RUN adduser -u 10001 -D app-runner
RUN chmod -R 755 /app

ENTRYPOINT ["/app/your-application"]

如果你的环境是内网，不能连接外网（不能联网），要从外部导入一个 go mod 项目，并运行的时候，肯定会 timeout 在下载项目依赖的包的阶段，实际上依赖包已经放到目录文件，不用下载也能正常运行。为了解决这一问题，我们只需要设置参数 GO111MODULE=off ，然后设置正确的 GOPATH 即可

ENV GO111MODULE off
ENV GOPATH /build

在代码库中需要提前把代码包的中 vendor 更新，在本地执行以下命令，并提交到代码库

go mod init your-application
go mod vendor

这样就会有离线的 vendor 代码库


|——vendor

    └──github.com
    └──golang.org
    └──gopkg.in
    └──modules.txt

GO111MODULE=off 无 mod 支持， go 会从 GOPATH 和 vendor 文件夹寻找包。
GO111MODULE=on 模块支持，go 会忽略 GOPATH 和 vendor 文件夹，只根据 go.mod 下载依赖。
GO111MODULE=auto 在 $GOPATH/src 外面且根目录有 go.mod 文件时，开启模块支持。

有可能会遇到的问题 #

docker镜像源速度慢 #

如果docker镜像拉取速度太慢，或者拉取不到，可以试试改为国内镜像源地址，参考这里

更新docker的yum源 #

如果你发现自己的docker版本低，但是自己的源里面又没有想要的版本，那就需要更新官方的源参考这里

引用 #

手把手教你写一个完美的Golang Dockerfile Golang1.5到Golang1.12包管理：golang vendor 到 go mod 官方golang包管理神器，值得一试！go mod | 编程三分钟