核心是用好cgroups硬性资源上限：内存需设--memory与--memory-swap总上限，CPU应优先用--cpus硬配额而非--cpu-shares权重，PID必须设--pids-limit防fork炸弹，IO需通过--device-read-bps等限制避免打满宿主机。
核心是用好 cgroups 提供的硬性资源上限，而不是依赖隔离或软性调度。只做命名空间隔离不设上限，容器照样能吃光宿主机内存、cpu 或进程数。
内存：必须设 --memory 和 --memory-swap
单靠 --memory 只限制物理内存，容器仍可大量使用 swap，最终拖垮宿主机 I/O 和响应能力。关键在 --memory-swap —— 它不是“单独分配的 swap”，而是 内存 + swap 的总上限。
-
--memory=512m --memory-swap=1g：最多用 512MB 内存 + 512MB swap（共 1GB） -
--memory=512m --memory-swap=512m：禁用 swap，只准用 512MB 物理内存 -
--memory=512m --memory-swap=-1：允许无限 swap（生产环境绝对禁用）
注意：该配置依赖内核开启 cgroup swap 支持（如 swapaccount=1），Ubuntu 22.04+/CentOS 8+ 默认开启，但部分云主机精简镜像可能关闭，需手动验证：cat /sys/fs/cgroup/memory/docker/xxx/memory.memsw.limit_in_bytes 或 docker inspect 容器 | jq '.[0].HostConfig.MemorySwap'。
CPU：优先用 --cpus，慎用 --cpu-shares
--cpu-shares 是权重，只在多个容器争抢 CPU 时起作用；空闲时任何容器都能跑满所有核。真正防止单应用霸占 CPU，得用 --cpus 做硬性配额。
-
--cpus=1.2：容器最多占用 1.2 个逻辑 CPU 核心（例如每 100ms 最多用 120ms） - 搭配
--cpuset-cpus="0-1"可进一步绑定到特定物理核，避免跨 NUMA 访存开销 - Java 等运行时还需同步调小 JVM 堆（如
-Xmx384m），否则堆外内存可能绕过 Docker 限制
PID 数量：必须加 --pids-limit
PID 命名空间只管“看不看得见”，不限制“能不能创建”。一个 fork 炸弹几秒就能耗尽系统 PID 数（默认一般 32768），导致新进程无法启动，整个宿主机假死。
-
--pids-limit=128：该容器内最多存在 128 个进程或线程（含子线程） - 值为
-1表示不限（Docker 默认行为，生产务必改掉） - 禁止搭配
--pid=host或--privileged，否则限制完全失效 - 验证方式：
docker exec -it 容器 cat /sys/fs/cgroup/pids.max
IO 和其他补充项
高吞吐服务（如数据库、对象存储）还应限制磁盘 IO，避免把宿主机 I/O 队列打满：
-
--device-read-bps=/dev/sda:50mb：限制从 sda 每秒最多读 50MB -
--device-write-iops=/dev/sda:200：限制向 sda 每秒最多写 200 次 IO - 对日志密集型容器，建议挂载
tmpfs卷并设--tmpfs /var/log:rw,size=64m，避免日志刷爆磁盘
