如何使用 tmpfs 挂载将容器高频数据锁在内存中提升 IO 指南-Docker-PHP中文网

直接将高频读写路径挂载到内存（tmpfs）是提升容器io最有效手段之一，需选对路径（如/tmp、/run、/app/cache等）、限制size（如size=128m）、配置安全选项（noexec/nosuid/mode）并避免与volume冲突。

如何使用 tmpfs 挂载将容器高频数据锁在内存中提升 io 指南

直接把高频读写路径挂到内存里，是提升容器 IO 最有效的手段之一。关键不是“挂了就快”，而是挂对位置、控住大小、防住冲突。

哪些路径适合 tmpfs 锁进内存

只对真正短命、易变、不落盘的路径下手，才能发挥最大收益：

/tmp：通用临时区，解压、日志缓冲、中间计算常用
/var/run 或 /run：存放 socket、pid、健康检查文件，避免磁盘延迟拖慢服务响应
/app/cache、/var/cache/*：如 Node.js 编译缓存、PHP OPcache 元数据、Go build 中间产物
/run/secrets 或自定义密钥目录：敏感凭证临时加载，既提速又杜绝落盘风险

挂载时必须显式限制 size

不设 size 相当于把内存闸门打开——tmpfs 默认可吃掉主机一半内存，极易触发 OOM 杀进程：

单位用小写：size=128m（不是 128M），支持 k、m、g
微服务参考值：API 网关缓存 64–128MB，Node.js 缓存 128–256MB，实时处理类服务可到 1GB
所有 tmpfs 总和建议 ≤ 宿主机可用内存的 15%～20%，留足余量给系统和其他容器

安全与稳定配置不能省

内存虽快，但裸挂有风险，基础防护项要写全：

Docker Container Cleaner

CLI工具，用于清理已停止的Docker容器、未使用的镜像、卷和网络，释放磁盘空间。

下载

noexec：禁止执行任何二进制文件，防恶意依赖在内存中起手
nosuid：忽略 setuid/setgid 权限位，切断提权路径
mode=1777（对 /tmp）或 mode=0700（对私有缓存）：权限收严，避免越权访问
避免与 volume 冲突：同一路径不能既挂 volume 又挂 tmpfs，后者会静默覆盖前者，导致配置丢失

两种主流挂载方式实操示例

命令行启动（适合调试或单容器）：

docker run -d \
  --name api-cache \
  --tmpfs /var/cache/nginx:rw,noexec,nosuid,size=128m \
  --tmpfs /tmp:rw,noexec,nosuid,mode=1777,size=64m \
  nginx:alpine

Compose 配置（推荐生产）：

services:
  worker:
    image: node:18-alpine
    tmpfs:
      - /app/.cache:rw,noexec,nosuid,size=256m
      - /tmp:rw,noexec,nosuid,mode=1777,size=64m

注意：tmpfs 是 service 级别字段，不能写在 volumes 块里；每项为 路径:选项 格式。