--ulimit参数可设置nofile、nproc、as、stack、core等POSIX进程级软/硬资源限制，格式为--ulimit type=soft:hard，仅在docker run时生效，作用于容器内所有进程。
通过 docker run 的 --ulimit 参数，可以在容器启动时设置内核对进程的资源使用限制（即 ulimit 值），从而在容器生命周期内控制其系统资源行为。这些限制作用于容器内所有进程（以 init 进程为根），但仅影响当前容器的运行时上下文，不修改宿主机或镜像本身。
Ulimit 控制的是哪些资源？
--ulimit 设置的是 POSIX 定义的进程级软/硬限制（soft/hard limits），常见类型包括：
-
nofile：最大可打开文件描述符数（如
--ulimit nofile=65536:65536） - nproc：最大可创建进程/线程数（防 fork 炸弹）
- as：地址空间大小（虚拟内存上限，单位字节）
- stack：单个线程栈大小（单位字节）
- core：core dump 文件最大尺寸（设为 0 可禁用 core dump）
格式统一为 --ulimit ，若只写一个值（如 --ulimit nofile=65536），则 soft 和 hard 均设为该值。
如何正确使用 --ulimit 参数？
ulimit 是容器运行时参数，必须在 docker run 时显式指定，无法在已有容器中动态修改（docker update 不支持 ulimit）。示例：
docker run --ulimit nofile=1024:2048 --ulimit nproc=512:512 -it ubuntu:22.04
进入容器后可通过 ulimit -a 验证生效情况。注意：
- 部分限制（如
memlock、locks）需容器以--privileged或对应--cap-add启动才允许调高 - 若未指定，Docker 默认继承宿主机 daemon 的 ulimit（通常为 soft=1024, hard=unlimited）
- 容器内应用若主动调用
setrlimit()，只能将 soft limit 提升至 hard limit 允许的范围
与其它资源限制方式的区别
--ulimit 专注进程行为层面，和以下机制互补但不替代：
-
CPU/Memory 限额（
--cpus,--memory）：由 cgroups v1/v2 控制，是内核级资源配额，更底层、更严格 -
OOM Killer 触发：内存超限后由内核终止进程，而
as或rssulimit 可让malloc()直接失败，避免 OOM -
镜像内 ulimit 设置（如 Dockerfile 中
RUN ulimit -n 65536）无效：ulimit 是 shell 会话属性，构建阶段设置不持久化到运行时
典型应用场景
合理配置 ulimit 能预防常见故障：
- Web 服务（Nginx/Node.js）设
nofile防止“Too many open files”错误 - Java 应用设
nproc防止因线程数过多导致 fork 失败（尤其使用 parallel streams 或大量线程池时） - 数据库容器（如 PostgreSQL）设
memlock支持大页内存锁定（需配合--cap-add=IPC_LOCK） - CI/CD 容器设
core=0禁用 core dump，节省磁盘并规避敏感信息泄露
