docker可通过--device-read-bps和--device-write-bps参数按宿主机块设备路径（如/dev/sda）限制容器读写带宽，单位支持b/k/m/g（大小写敏感），仅作用于真实块设备，依赖cgroup blkio子系统，需确保内核启用且设备权限正确。
直接限制容器磁盘 IO 是可行的，但必须明确一点：Docker 的 IO 限制只对块设备（如 /dev/sda、/dev/nvme0n1）生效，对文件系统层（如 /var/lib/docker 所在挂载点）或 overlay2 存储驱动本身不生效——它不拦“写到哪”，只拦“从哪读/往哪写”的速率。
怎么用 --device-read-bps 和 --device-write-bps
这两个参数是限制 IO 带宽最常用、最直观的方式，单位支持 b、k、m、g（大小写敏感，m 表示 MB，不是 MiB）。
-
--device-read-bps=/dev/sda:5m：限制该容器从/dev/sda每秒最多读取 5MB -
--device-write-bps=/dev/sda:2m：限制该容器向/dev/sda每秒最多写入 2MB - 可同时指定多个设备，例如：
--device-read-bps=/dev/sda:1m --device-read-bps=/dev/sdb:500k - 注意：设备路径必须是宿主机上的真实块设备路径，容器内看到的
/dev/sda可能并不存在或不是同一设备
--device-read-iops 和 --device-write-iops 适合什么场景
当业务更关注 IOPS（每秒操作次数）而非吞吐量时用这个，比如数据库随机小文件读写。它对 SSD 或 NVMe 设备更贴合实际性能模型。
-
--device-read-iops=/dev/nvme0n1:1000：限制每秒最多发起 1000 次读 I/O 请求 - 底层依赖 cgroup v1 的
blkio.weight或 v2 的io.weight，但 Docker 封装后只暴露了 iops/bps 接口 - 不支持小数，值必须为正整数；若设为 0，Docker 会忽略该限制
- 和 bps 参数互斥——不能对同一设备同时设置
read-bps和read-iops，否则后者被静默丢弃
为什么 docker stats 看不到 IO 限制效果
docker stats 显示的是实时 IO 字节数和 IOPS 估算值，但它**不显示配额是否被触发、是否被节流**。IO 限速是内核 blkio cgroup 在后台强制执行的，容器进程只会感知到“变慢”，不会报错。
- 验证是否生效，得进容器跑压测：
dd if=/dev/zero of=/tmp/test bs=4k count=10000 oflag=direct，再对比加限前后耗时 - 查实际限速状态：在宿主机运行
cat /sys/fs/cgroup/blkio/docker/<container-id>/blkio.throttle.io_service_bytes</container-id>，看是否有Throttled类型的统计增长 - 注意：
docker-compose.yml中不支持device-read-bps等参数，必须用deploy.resources.limits下的devices扩展（需 Swarm 模式）或改用docker run命令启动
容易被忽略的兼容性与权限问题
IO 限制依赖内核的 blkio cgroup 子系统，不是所有发行版默认启用，尤其在较老或精简内核（如某些 Alpine 宿主机）上可能失效。
- 检查是否启用：
ls /sys/fs/cgroup/blkio/，若报错“No such file”，说明内核未编译 blkio 支持或挂载失败 - Docker daemon 启动时需确保
--cgroup-parent或 systemd cgroup 配置没屏蔽 blkio 控制器 - 使用
--device-write-bps时，如果容器进程以非 root 用户运行，且目标设备权限受限（如仅 root 可写），限制仍生效，但进程可能先因权限失败而退出——限制不是绕过权限检查的 - 云环境（如 AWS EC2）中，EBS 卷的 IO 限速受实例类型和 EBS 优化影响，Docker 层限制可能被底层存储 QoS 覆盖或削弱
