如何构建最小Distroless镜像，运行启动Java子服务的Go服务

你的现有方案存在几个可优化的点：

1. Go运行时完全冗余：Go是编译型语言，只要编译时生成静态二进制（关闭CGO），无需任何Go运行时文件即可独立运行，复制Go发行版的二进制只会徒增镜像体积。
2. JVM复制过于粗放：直接从Java镜像复制整个JVM目录会包含大量非必需文件（如开发工具、文档、多余模块），大幅增加镜像大小。
3. 基础镜像选择模糊：<minimal-base-image>若不是专门的Distroless镜像，可能无法达到最小化和安全的要求。

以下是更合理的多阶段构建Dockerfile，兼顾最小化体积与运行需求：

# 阶段1：编译Go程序（静态编译，无需Go运行时）
FROM golang:1.22-alpine AS go-builder
WORKDIR /app
COPY . .
# 静态编译Go程序，关闭CGO避免依赖系统libc
RUN CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o go-parent-service .

# 阶段2：构建最小化JRE（仅保留运行Java程序必需的模块）
FROM eclipse-temurin:17-jdk-alpine AS java-builder
# 使用jlink生成仅含核心模块的最小JRE，压缩体积
RUN jlink --compress=2 --no-header-files --no-man-pages \
    --add-modules java.base,java.logging \
    --output /minimal-jre

# 阶段3：基于Distroless基础镜像构建最终镜像
FROM gcr.io/distroless/base-debian12
# 复制最小化JRE
COPY --from=java-builder /minimal-jre /usr/lib/jvm/minimal-jre
# 复制编译好的Go程序
COPY --from=go-builder /app/go-parent-service /
# 设置Java环境变量，让Go程序能找到java命令
ENV JAVA_HOME=/usr/lib/jvm/minimal-jre
ENV PATH="$JAVA_HOME/bin:$PATH"

# 启动Go服务
CMD ["/go-parent-service"]

• 镜像体积极小：Go程序为静态二进制，JRE是经jlink裁剪的最小版本，搭配本身不含shell、包管理器等冗余组件的Distroless基础镜像，整体体积远小于原始方案。
• 安全性更高：Distroless镜像仅包含运行必需文件，攻击面远小于普通Linux镜像。
• 依赖精准：仅复制运行所需文件，无冗余内容，避免不必要的依赖冲突。

内容的提问来源于stack exchange，提问作者user313