如何配置Linux系统在检测到内存溢出时自动隔离受影响进程-安全-PHP中文网

linux不自动隔离内存溢出进程，而是触发oom killer终止之；真正隔离需用cgroups v2设内存硬上限，辅以ulimit和oom_score_adj调优实现预防性防护。

如何配置linux系统在检测到内存溢出时自动隔离受影响进程

Linux系统本身不会“自动隔离”内存溢出的进程——它默认行为是触发OOM Killer直接终止进程。所谓“隔离”，实质是在内存压力发生前，就对进程施加硬性资源边界，使其无法突破设定上限，从而避免被杀，也防止拖垮系统。这需要主动配置，而非等待溢出后响应。

下面从三个层面给出可落地的配置方法，重点聚焦“预防性隔离”：

用cgroups v2设内存硬上限（最推荐）

这是真正实现进程级内存隔离的标准方式。一旦进程RSS超过设定值，内核会在该cgroup内部触发OOM，只杀该组内进程，不影响系统其他服务。

Linux installer

先解析安全源，运行本地CLI安装、启动、卸载Linux桌面应用。用户请求时使用。

下载

# 1. 创建控制组（需root）
sudo mkdir /sys/fs/cgroup/myapp

# 2. 启用memory控制器
echo "+memory" | sudo tee /sys/fs/cgroup/myapp/cgroup.subtree_control

# 3. 设定最大物理内存为1GB（512MB写536870912）
echo 1073741824 | sudo tee /sys/fs/cgroup/myapp/memory.max

# 4. 将目标进程加入（例如PID为1234）
echo 1234 | sudo tee /sys/fs/cgroup/myapp/cgroup.procs

✅ 进程后续所有内存分配（堆、mmap匿名页、page cache等）均受此限制
❌ 不会等到dmesg出现“Killed process”才动作，而是在超限时立即阻塞或触发cgroup内OOM
? 可配合memory.high设软限：内核会提前回收其缓存，避免硬限触发

启动时用ulimit限制虚拟内存（轻量级补充）

适合shell启动的短生命周期进程，作为cgroups的补充防护。

ulimit -v 1048576  # 限制虚拟内存为1GB（单位KB）
./myserver

✅ 对malloc/new等标准分配生效，失败时返回NULL，程序可捕获处理
❌ 不限制mmap(MAP_ANONYMOUS)、共享内存、page cache，不能替代cgroups

调整OOM优先级+禁用全局OOM误杀（保护关键进程）

即使做了资源限制，也要防止内核把你的受控进程当作“替罪羊”误杀。

# 查看当前oom_score_adj（越小越安全）
cat /proc/1234/oom_score_adj

# 设为-1000：彻底禁止OOM Killer选中该进程
echo -1000 | sudo tee /proc/1234/oom_score_adj

# （可选）关闭swap以减少延迟型OOM风险
sudo swapoff -a