docker守护进程无法统一配置core dump，因其不管理容器内核参数；必须在每次启动时用--ulimit、--sysctl、挂载和能力参数逐项声明，或通过entrypoint.sh动态设置。
不能通过配置 Docker 守护进程（dockerd）来设置“默认内核转储限制”以实现容器崩溃时自动收集所谓“离线内核高度指纹”。这个说法存在概念混淆——Linux 内核不提供“高度指纹”这一机制，core dump 是完整内存快照，不是轻量级指纹；且 dockerd 本身**不管理、也不支持全局默认设置容器的 core_pattern 或 ulimit**。
为什么守护进程无法统一配置 core dump
Docker 守护进程不介入容器内核参数控制。每个容器运行在独立的 PID 命名空间和用户命名空间中，/proc/sys/kernel/core_pattern 属于内核 sysctl 参数，其生效范围取决于容器启动时显式传入的 --sysctl，而非 dockerd 的配置文件（如 /etc/docker/daemon.json）。该文件仅支持少数运行时行为（如默认日志驱动、cgroup 配置），不包含 core_pattern、ulimit 或 fs.suid_dumpable 等内核级调试参数。
真正有效的配置必须在容器启动时逐个声明
要确保容器崩溃生成可用的 core 文件，需在每次 docker run 或 docker-compose up 中明确指定以下四项：
-
解除大小限制：用
--ulimit core=-1:-1（不可省略:-1，否则 soft/hard 不一致） -
指定写入路径与格式：用
--sysctl kernel.core_pattern=/var/log/core/core.%e.%p.%t -
启用 setuid 程序 dump 支持：若服务以非 root 用户 drop privileges，加
--sysctl fs.suid_dumpable=2 -
挂载宿主机持久目录：用
-v /host/core:/var/log/core:rw，并提前chmod 1777 /host/core
替代方案：用 entrypoint.sh 统一注入（适合镜像固化）
若需避免每次启动都写长命令，可在镜像中预置 entrypoint.sh，并在其中动态设置：
- 检查
/proc/sys/kernel/core_pattern是否已符合预期，否则尝试 echo 写入（需容器带--cap-add=SYS_ADMIN） - 执行
ulimit -c unlimited（对当前 shell 及子进程生效） - 确保目标目录存在且可写：
mkdir -p /var/log/core && chmod 1777 /var/log/core
注意：该脚本仍依赖容器启动时赋予必要能力，--cap-add=SYS_ADMIN 不可省略。
所谓“离线内核高度指纹”实际应指什么
你可能想表达的是：无需接入调试器、不依赖网络、崩溃即落盘的轻量级诊断信息。但 core dump 本身不是“指纹”，而是完整镜像。如真需紧凑标识，可：
- 在
core_pattern中加入%h（主机名）或%t（时间戳），便于归档分类 - 崩溃后用
readelf -n core.xxx | grep -E "(NT_PRSTATUS|signal)"提取关键寄存器与信号码，生成摘要 - 配合
procdump -C 90等工具做 CPU 异常触发式采样（非崩溃时生成，属主动监控）
这些操作均发生在容器内或宿主机侧，与 dockerd 无关。
