Docker原生不支持虚拟机式原子快照，因容器本质是进程组，docker commit仅保存文件系统层变更，无法捕获内存、线程堆栈、锁状态等运行时信息；有效现场留存需并行执行线程快照、内存锁导出与带-p暂停的commit三操作。
Docker 本身没有“容器快照”功能，官方不支持类似虚拟机快照（snapshot）的原子级运行时状态保存。所谓“秒级留存现场环境”在 Docker 原生生态中无法通过单一命令实现，但可通过组合手段逼近目标：快速冻结进程上下文、捕获内存/堆栈/文件系统快照，并保留可复现的完整运行态线索。
为什么不能直接 snapshot 容器？
Docker 是基于 Linux namespace + cgroups 的轻量隔离，容器本质是普通进程组，不保存内存镜像或 CPU 寄存器状态。docker commit 只保存**文件系统层变更**（即磁盘状态），完全不包含进程堆栈、锁持有关系、线程阻塞链、内核等待队列等死锁关键信息。
真正有效的现场留存三件套
面对微服务死锁，核心诉求不是“保存容器”，而是“锁定当时可观测线索”。推荐立即并行执行以下三项操作（可在 2–5 秒内完成）：
-
抓取全栈线程快照：进入容器执行
kill -3 <java-pid></java-pid>（Java）或gdb -p <pid> -ex "thread apply all bt" -ex quit > threads.bt</pid>（Go/C++/Node.js），输出到共享卷或 host 目录； -
导出内存与锁状态：对 Java 应用运行
jstack -l <pid> > jstack-l.log</pid>+jmap -histo:live <pid> > histo.log</pid>；对 Go 应用访问/debug/pprof/goroutine?debug=2和/debug/pprof/heap； -
冻结容器文件系统+元数据：执行
docker commit -p <container-id> debug/lock-$(date -u +%Y%m%dT%H%M%SZ)</container-id>，-p参数会暂停容器几毫秒再提交，确保文件系统一致（但不暂停运行中线程）；同时记录docker inspect <container-id></container-id>输出和宿主机ls -la /proc/<pid>/fd/</pid>等关键路径。
增强可观测性的前置准备
“秒级留存”依赖预埋能力，非事发时临时配置可达成。建议在生产镜像中默认集成：
- 在 ENTRYPOINT 中注入信号处理逻辑，例如监听 SIGUSR2 自动触发 jstack + pstack + netstat 采集并落盘；
- 挂载宿主机临时目录（如
-v /mnt/debug:/debug:rw,nosuid,nodev），确保采集结果不随容器销毁丢失； - 使用
docker run --oom-kill-disable --pids-limit=512等限制防雪崩，同时开启--ulimit core=-1:-1并配置宿主机/proc/sys/kernel/core_pattern，使死锁崩溃时自动生成 core dump（需应用未屏蔽 SIGABRT/SIGSEGV）。
替代方案：用 CRI-O 或 Kata Containers？
部分云厂商托管环境（如 AWS ECS with Firecracker、阿里云 ACK Sandbox）支持轻量虚拟机级快照，但延迟在百毫秒级且需提前启用 sandbox runtime。标准 Docker + containerd 生态中，更务实的做法是：用 eBPF 工具（如 bpftrace、libbpf）实时监控 futex、mutex_lock 等系统调用异常频次，在检测到锁等待超阈值（如 >30s）时自动触发上述三件套采集——这比事后“抢救”更接近“秒级响应”。
