结论：仅用 -m 限制物理内存不够，必须同步配置 --memory-swap，否则 docker 默认启用等量 swap（如 -m 512m → --memory-swap=1g），导致实际可用内存达1gb且oom行为不可控；禁用swap需显式设为 -m 512m --memory-swap=512m。
直接说结论：用 -m（或 --memory）就能限制容器物理内存上限，但只设这个不够——--memory-swap 必须同步确认，否则系统会默认给你开一倍 swap，实际可用内存远超预期，OOM 行为也会变得不可控。
为什么 -m 512m 启动的容器，top 里却看到用了 900MB？
这是最常被忽略的默认行为：当你只指定 -m 512m，Docker 会把 --memory-swap 自动设为 1g（即 512MB 物理内存 + 512MB swap）。容器进程可以 malloc 到接近 1GB 才触发 OOM killer。
- 验证方式：进容器执行
cat /sys/fs/cgroup/memory/memory.limit_in_bytes和cat /sys/fs/cgroup/memory/memory.memsw.limit_in_bytes - 想禁用 swap？必须显式写成
-m 512m --memory-swap=512m（两个值相等） - 想彻底禁用 swap？用
-m 512m --memory-swap=0，但注意：部分内核版本不支持该组合，会报错
--memory-swap 的三种典型取值含义
这个参数不是“额外 swap 大小”，而是“物理内存 + swap 的总上限”。它的值和 -m 的关系决定 swap 是否可用、能用多少：
-
-m 512m --memory-swap=-1：不限制总内存（swap 无限），等同于没设限制 -
-m 512m --memory-swap=1g：最多用 512MB 物理内存 + 最多 512MB swap（因为 1g − 512m = 512m） -
-m 512m --memory-swap=512m：禁止使用任何 swap，超 512MB 直接 OOM
注意：--memory-swap 不能小于 -m 值，否则 Docker daemon 启动容器时会拒绝并报错 invalid argument: memory-swap must be greater than or equal to memory。
压测验证内存限制是否生效，别用错 stress 参数
用 stress 测试时，关键不是看它分配了多少，而是看它是否在限额内循环、还是直接崩溃：
- 正确命令示例：
docker run -it -m 128m --memory-swap=128m progrium/stress --vm 1 --vm-bytes 130m - 现象：容器秒退，
docker ps -a显示状态为Exited (137)（137 = OOM kill） - 错误示范：
--vm-bytes 100m—— 这个值远低于 128MB，根本压不出限制，只能说明“没超”，不能证明“限制生效” - 单位要对齐：
130m是 130 MiB ≈ 136314880 字节，而/sys/fs/cgroup/memory/memory.limit_in_bytes显示的是字节数，可直接比对
生产环境设置内存限制的两个硬约束
光写对参数还不够。真实服务跑起来，容易栽在这两点上：
- JVM 类应用（如 Spring Boot、Tomcat）必须显式传
-Xmx，且该值要 ≤ 容器-m值的 75% 左右；否则 JVM 自己申请堆外内存（Netty direct buffer、JIT code cache 等）会绕过 cgroup 限制，导致容器被 OOM kill - 容器启动后，建议立刻检查
cat /sys/fs/cgroup/memory/memory.max（cgroup v2）或memory.limit_in_bytes（cgroup v1），确认值与预期一致；某些旧版 Docker 或 systemd 环境下，cgroup v2 未启用会导致限制静默失效
真正卡住人的，往往不是参数记不住，而是 swap 默认行为和 JVM 堆外内存这两个点没对齐。调完 -m，一定要进容器看 cgroup 文件、再用 stress 超一点试杀一次，才算闭环。
