# ❌ 常见陷阱：musl libc 兼容性问题
FROM alpine:3.19
RUN apk add --no-cache python3 py3-pip
# 某些 Python 包包含 C 扩展，可能在 musl 上编译失败

# ✅ 解决方案一：使用兼容层
FROM alpine:3.19
RUN apk add --no-cache python3 py3-pip build-base python3-dev

# ✅ 解决方案二：使用 wolfi（musl + glibc 兼容性更好）
FROM cgr.dev/chainguard/python:latest-dev

FROM alpine:3.19

# ✅ 合并 apk add 与清理，使用 --no-cache 不产生索引缓存
RUN apk add --no-cache \
    ca-certificates \
    tzdata \
    curl \
    && cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
    && echo "Asia/Shanghai" > /etc/timezone

# 如果遇到 DNS 问题，手动指定 DNS
RUN echo "nameserver 8.8.8.8" >> /etc/resolv.conf && \
    apk add --no-cache curl

# Go 应用使用 Distroless
FROM golang:1.22-alpine AS builder
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 go build -ldflags="-s -w" -o /app/server .

# 生产阶段：使用 Distroless
FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=builder /app/server /server
ENTRYPOINT ["/server"]

# 方法一：使用 debug 变体（内置 busybox shell）
docker run --rm -it gcr.io/distroless/static-debian12:debug sh

# 方法二：使用 ephemeral 容器（Kubernetes）
kubectl debug -it my-pod --image=gcr.io/distroless/static:debug --target=my-container

# 方法三：使用 docker cp 复制调试工具
docker create --name temp myimage:latest
docker cp /usr/bin/strace temp:/tmp/
docker start -ai temp

FROM scratch
COPY server /server
COPY ca-certificates.crt /etc/ssl/certs/
EXPOSE 8080
ENTRYPOINT ["/server"]

FROM golang:1.22-alpine AS builder
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .

# 静态编译，包含 CA 证书
RUN CGO_ENABLED=0 GOOS=linux go build \
    -ldflags="-s -w" \
    -o /server .

FROM scratch

# 从 builder 阶段复制 CA 证书
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/

# 复制时区数据
COPY --from=builder /usr/share/zoneinfo /usr/share/zoneinfo

# 创建基本的 passwd 文件（非 root 运行）
COPY --from=builder /etc/passwd /etc/passwd

# 复制编译好的二进制
COPY --from=builder /server /server

USER nobody
EXPOSE 8080
ENTRYPOINT ["/server"]

# 查看镜像的 manifest 列表
docker manifest inspect nginx:latest | jq '.manifests[] | {digest, platform}'

# 输出示例：
# { "digest": "sha256:abc...", "platform": { "architecture": "amd64", "os": "linux" } }
# { "digest": "sha256:def...", "platform": { "architecture": "arm64", "os": "linux" } }

# 创建/使用 BuildKit builder
docker buildx create --name multiarch --driver docker-container --use

# 同时构建 amd64 和 arm64
docker buildx build \
    --platform linux/amd64,linux/arm64 \
    -t myapp:latest \
    --push .

# 使用 ARG 获取构建平台信息
FROM --platform=$BUILDPLATFORM golang:1.22-alpine AS builder

ARG TARGETPLATFORM
ARG TARGETOS
ARG TARGETARCH

WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .

# 根据目标架构交叉编译
RUN GOOS=$TARGETOS GOARCH=$TARGETARCH CGO_ENABLED=0 \
    go build -ldflags="-s -w" -o /server .

FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=builder /server /server
ENTRYPOINT ["/server"]

# ❌ 使用 latest 标签（不可重现构建）
FROM python:latest

# ✅ 使用具体版本号
FROM python:3.12.2-slim-bookworm

# ✅ 使用 digest（最精确）
FROM python:3.12.2-slim-bookworm@sha256:abc123...

# ✅ 使用带日期的标签（部分镜像提供）
FROM python:3.12-slim-bookworm-20240101