最有效防fork炸弹手段是用--pids-limit设硬上限，通过cgroup pids.max强制拦截超限fork()/clone()调用并返回resource temporarily unavailable；推荐docker run --pids-limit=128 -d nginx，禁用--pid=host防绕过。
直接用 --pids-limit 参数设硬上限，是最有效、最简明的防 fork 炸弹手段。它不靠隐藏进程，而是通过 cgroup 的 pids.max 强制拦截所有超限的 fork() 和 clone() 调用，返回 Resource temporarily unavailable，从源头掐断爆炸式派生。
用 --pids-limit 启动时限制（推荐，Docker 20.10+）
适用于默认启用 cgroup v2 的现代系统（Ubuntu 22.04+/Debian 11+/CentOS 8+）：
- 启动命令加参数，例如：
docker run --pids-limit=128 -d nginx，表示该容器最多运行 128 个进程或线程（含子进程、线程） - 值设为
-1表示不限制（Docker 默认行为），生产环境必须显式修改 - 值设为
0会报错退出，不可用 - 该值会写入容器内的
/sys/fs/cgroup/pids.max，可进入容器验证
通过 --cgroup-parent 手动绑定（兼容旧版或批量管控）
适合 Docker 版本较老，或需统一约束多个容器的场景：
- 在宿主机创建自定义 cgroup：
sudo mkdir -p /sys/fs/cgroup/limited-pids - 写入限制值：
echo 96 | sudo tee /sys/fs/cgroup/limited-pids/pids.max - 启动容器时绑定：
docker run --cgroup-parent=limited-pids -d myapp - 需确认 Docker daemon 支持 cgroup v1（检查
/etc/docker/daemon.json是否含"cgroup-parent": "/sys/fs/cgroup"类配置）
必须验证是否真正生效
配置成功 ≠ 限制起作用，务必进容器检查：
- 查限制值：
cat /sys/fs/cgroup/pids.max（cgroup v2）或cat /sys/fs/cgroup/pids/pids.max（cgroup v1） - 查当前用量：
cat /sys/fs/cgroup/pids.current - 观察触发表现：若容器内程序突然无法创建新线程或子进程，并报
fork: Resource temporarily unavailable，说明已生效 - 查运行时设置：
docker inspect | grep PidsLimit（仅对--pids-limit生效）
关键安全注意事项（防绕过）
PidLimit 本身可靠，但错误配置会让它形同虚设：
- 绝对禁止使用
--pid=host：它让容器共享宿主机 PID 命名空间，所有容器级限制全部失效 - 避免
--privileged或过度授予CAP_SYS_ADMIN：特权容器可能自行修改 cgroup 配置 - 合理设值：Nginx/Envoy 类代理建议
--pids-limit=200；Go/Python 微服务按线程池上限设（如 100），Java 应用通常需更高（如 256–512）
