Docker容器需设资源限制防争抢：CPU用--cpus或--cpu-shares，内存必配--memory防OOM，磁盘I/O和网络需按设备或tc限速，宿主机启用cgroup v2并调优内核参数。

启动 Docker 容器时若不加限制，多个容器可能同时抢占 CPU、内存、磁盘 I/O 或网络带宽，导致关键服务响应变慢甚至崩溃。核心思路是：在 docker run 或编排配置中主动设置资源约束，并配合宿主机调度策略，让容器“有节制地用资源”，而非“抢到算赢”。

CPU 资源隔离：避免“全核满载”式争抢

Docker 默认不限制 CPU 使用，容器可占满所有可用核心。建议根据服务类型设置 --cpus（推荐）或 --cpu-shares（相对权重）：

• --cpus=1.5：限制容器最多使用 1.5 个逻辑 CPU 核心（支持小数，底层基于 CFS 配额）
• --cpu-shares=512：仅在 CPU 紧张时生效，表示该容器获得的 CPU 时间是默认值（1024）的一半
• 对延迟敏感服务（如 API 网关），优先用 --cpus；对批处理类任务（如日志压缩），可用 --cpu-shares 配合低优先级调度

内存限制与 OOM 防护：防止“内存吃爆”拖垮整机

不设内存上限的容器在压力下可能触发宿主机 OOM Killer，误杀其他进程。必须显式指定 --memory：

• --memory=512m：硬限制，超限后容器内进程被内核 OOM Killer 终止（容器退出）
• 建议同时设置 --memory-swap=512m（禁用 swap）或 --memory-swap=1g（允许部分 swap），避免因 swap 滥用引发 I/O 飙升
• Java 类应用需注意：JVM 堆内存（-Xmx）应明显小于 --memory 值，预留空间给元数据、线程栈、本地内存等

磁盘 I/O 与网络带宽可控化

批量日志写入或大文件传输容易打满磁盘吞吐或网卡，影响同宿主机其他容器：

• 块设备限速：--device-read-bps /dev/sda:10mb --device-write-bps /dev/sda:5mb（按设备路径限速）
• 网络限速（需启用 dockerd 的 userland-proxy=false 并依赖 host 网络命名空间）：--network host 后用 tc 命令控制，或改用 macvlan 网络 + cgroup v2 的 net_cls/net_prio
• 对日志密集型容器，挂载 tmpfs 卷（-v /var/log/myapp:/var/log/myapp:tmpfs,size=100m）减少落盘压力

宿主机协同：cgroup v2 与内核参数优化

Docker 依赖 Linux cgroup 进行资源控制。确保宿主机启用 cgroup v2（现代发行版默认开启），并验证：

• 检查：stat -fc %T /sys/fs/cgroup 输出应为 cgroup2fs
• 避免混用 cgroup v1/v2：确认 /proc/cmdline 中无 systemd.unified_cgroup_hierarchy=0
• 关键内核参数调优：vm.swappiness=1（降低 swap 倾向）、vm.vfs_cache_pressure=50（缓存回收更保守），减少因内存压力引发的连锁 I/O 抖动