编译型语言最容易踩的坑：把整个编译工具链、源码、包缓存都塞进运行镜像。用 multi-stage build，builder 阶段负责编译，final 阶段只 COPY 二进制，镜像体积能小一个数量级，攻击面也更小。
（本文为归档摘要，全文整理中。）