pidlimit最直接有效的手段是使用--pids-limit参数限制容器内可创建的进程与线程总数，通过cgroup的pids.max实现强制管控，值为128时容器最多运行128个进程或线程，-1表示不限制（默认但不推荐生产环境），0无效；需验证/sys/fs/cgroup/pids.max是否生效，并禁用--pid=host等绕过风险配置。
在 Docker 中配置 PidLimit 是防范 fork 炸弹最直接有效的手段。它不是靠 PID 命名空间“隐藏进程”，而是通过 cgroup 的 pids.max 强制限制容器内**可创建的进程与线程总数**，一旦达到上限，fork() 和 clone() 系统调用就会失败，返回 Resource temporarily unavailable，从而从根源上阻断爆炸式派生。
使用 --pids-limit 参数（推荐，Docker 20.10+）
这是最简洁、原生支持的方式，适用于默认启用 cgroup v2 的现代系统（如 Ubuntu 22.04+、Debian 11+、CentOS 8+）：
- 启动时直接指定：例如
docker run --pids-limit=128 -d nginx，表示该容器最多运行 128 个进程或线程 - 值为
-1表示不限制（Docker 默认行为），生产环境务必避免 - 值为
0无效，会报错退出 - 该设置会写入容器内的
/sys/fs/cgroup/pids.max（cgroup v2）或/sys/fs/cgroup/pids/pids.max（cgroup v1）
通过 --cgroup-parent 手动绑定（兼容旧版或批量管控）
适合 Docker 版本较老，或需要统一管理多个容器的场景：
- 先在宿主机创建带限制的 cgroup：
sudo mkdir -p /sys/fs/cgroup/limited-pidsecho 96 | sudo tee /sys/fs/cgroup/limited-pids/pids.max - 运行容器时绑定该组：
docker run --cgroup-parent=limited-pids -d myapp - 需确认 Docker daemon 支持 cgroup v1（检查
/etc/docker/daemon.json是否含"cgroup-parent": "/sys/fs/cgroup"），且宿主机未强制禁用 v1
验证是否真正生效
配置后必须进入容器检查，不能只依赖命令执行成功：
- 查看限制值：
cat /sys/fs/cgroup/pids.max（v2）或cat /sys/fs/cgroup/pids/pids.max（v1） - 查看当前用量：
cat /sys/fs/cgroup/pids.current - 观察是否触发限制：若容器内程序突然无法创建新线程或子进程，并报
Resource temporarily unavailable，说明已触达上限 - 检查运行时配置：
docker inspect | grep PidsLimit（仅对--pids-limit生效）
关键安全注意事项
PidLimit 本身有效，但配置不当可能被绕过：
- 禁止使用
--pid=host：它让容器共享宿主机 PID 命名空间，所有容器级 PID 限制完全失效 - 避免
--privileged或过度授予CAP_SYS_ADMIN：特权容器可能修改自身 cgroup 配置 - 结合应用特性设值：Nginx/单进程服务通常 128–256 足够；Java/Netty 类多线程应用建议从 512–2048 起步测试；Node.js 默认事件循环一般无需高值
