宝塔面板本身不支持单站点cpu限制，需通过cgroups v2对独立php-fpm实例（如php-fpm-82.service）配置cpuquota软限制，配合“一站一实例”隔离实现精准控制，cpulimit因无法管控子进程且引入调度抖动而不适用。
宝塔面板本身不支持单站点CPU限制
宝塔面板的「网站」管理模块只提供 PHP 进程的内存限制（memory_limit）和脚本超时（max_execution_time），**没有内置的 CPU 配额或 cgroups 控制入口**。试图在面板里找“单站点CPU上限”设置，只会白费时间。
真正可行的路径是绕过面板 UI，直接对站点关联的 PHP-FPM worker 进程做 cgroups v2 级别控制——前提是你的系统内核 ≥ 5.0、已启用 cgroups v2，且使用的是 systemd 管理的 php-fpm 服务（宝塔默认即如此）。
确认 PHP-FPM 是否运行在独立 systemd scope 下
宝塔为每个 PHP 版本创建了独立的 php-fpm 服务单元，但默认所有站点共享同一组 worker 进程。要实现「单站点」粒度控制，必须让该站点走专属的 php-fpm 实例，否则 cgroups 会同时压住所有共用该实例的站点。
实操步骤：
- 在宝塔「软件商店」中安装一个**未被任何站点使用的 PHP 版本**（例如新增 PHP 8.2）
- 进入目标站点设置 → 「PHP版本」→ 切换到这个新版本
- 重启该 PHP 版本：在「软件管理」中点击对应 PHP 的「设置」→ 「服务」→ 「重启」
- 验证是否生成独立进程组：
systemctl status php-fpm-82（注意后缀名与版本号一致） - 检查进程归属：
ps aux | grep "php-fpm: pool www"—— 若看到www池实际由php-fpm-82启动，说明隔离成功
用 systemd + cgroups v2 限制指定 php-fpm 实例的 CPU 使用率
Linux cgroups v2 要求通过 systemd 的 .service 单元配置来生效，不能手动写 cgroup.procs。宝塔的 PHP 服务文件位于 /www/server/php/{ver}/etc/php-fpm.d/www.conf，但修改它没用；真正起效的是 systemd 单元覆盖配置。
操作流程：
- 创建覆盖目录：
sudo mkdir -p /etc/systemd/system/php-fpm-82.service.d - 新建限制配置：
sudo nano /etc/systemd/system/php-fpm-82.service.d/cpu-limit.conf - 填入以下内容（限制为 1 个逻辑 CPU 核心的 75%，即最多占用 75% × 1000 = 750 毫秒/秒）：
[Service] CPUQuota=75%
- 重载并应用：
sudo systemctl daemon-reloadsudo systemctl restart php-fpm-82 - 验证是否生效：
cat /sys/fs/cgroup/php-fpm-82.service/cpu.max→ 应输出类似750000 1000000
⚠️ 注意：CPUQuota 是软限制，仅在 CPU 竞争时起作用；若系统空闲，该实例仍可跑满单核。硬性限频需配合 CPUSchedulingPolicy=fifo 和 CPUSchedulingPriority，但易引发响应延迟，不推荐 Web 场景。
为什么不用 cpulimit？它和 cgroups 的关键区别在哪
cpulimit 是信号级干预工具，靠周期性发送 STOP/CONT 信号强制暂停进程。它的问题很实在：
- 无法绑定到动态 PID：PHP-FPM worker 会 fork 新进程，
cpulimit -p只能锁死初始进程，新 worker 完全不受控 - 对多线程无效：PHP 扩展如
curl_multi或异步 I/O 可能触发额外线程，cpulimit不感知线程组 - 引入调度抖动：高频 stop/cont 导致上下文切换暴涨，反而抬高整体负载
- 与 systemd 冲突：若用
screen启动cpulimit，systemd 无法感知其生命周期，重启服务时残留进程可能失控
cgroups v2 是内核原生资源控制器，从调度器底层截断配额，无信号开销，自动继承子进程，且与 systemd 生命周期完全对齐——这才是生产环境唯一靠谱的选择。
真正容易被忽略的点是：cgroups 限制只对「该 php-fpm 实例下所有 pool」生效。如果你在 www.conf 里额外配置了多个 pool（比如 [site-a]、[site-b]），它们会共享同一个 CPU 配额。单站点精确隔离，必须做到「一站在一实例」+「一实例一 service 单元」。
