“too many open files”源于ulimit、limits.conf、fs.file-max三层限制未对齐；需先用ulimit -n、cat /proc/sys/fs/file-max、lsof验证瓶颈，再按层级同步调整并重新登录或重启服务验证。
看到日志里出现 "too many open files"，说明进程已触达文件描述符上限，但直接改 /etc/security/limits.conf 往往不生效——因为这个错误背后是三层限制在起作用：进程级（ulimit）、用户级（limits.conf）、系统级（fs.file-max）。联动调优的关键是**按层级验证、同步调整、逐层确认**，而不是只改一个文件。
先快速定位当前限制是否真卡在 limits.conf
别急着编辑配置文件，先用命令确认瓶颈在哪：
- 运行
ulimit -Sn和ulimit -Hn—— 如果两者都还是默认的 1024 或 4096，说明当前会话根本没加载 limits.conf 规则 - 检查
cat /proc/sys/fs/file-max—— 如果低于 50 万，系统总池可能先耗尽，改单个用户也没用 - 执行
lsof -u $(whoami) | wc -l—— 看当前用户已打开多少句柄，接近软限制就说明真受限
limits.conf 配置必须满足三个硬性条件
即使写对了内容，90% 的失效源于以下任一缺失：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
-
格式严格：每行只能是
用户名 soft/hard nofile 数值，用户名和关键词之间用空格（不能 Tab），数值前不能有空格 -
PAM 模块启用：检查
/etc/pam.d/common-session（Ubuntu/Debian）或/etc/pam.d/system-auth（RHEL/CentOS）中是否有未注释的session required pam_limits.so -
全新登录生效：改完必须退出当前 SSH 会话、重新登录，
source ~/.bashrc或新开终端标签页都不行
针对不同启动方式的服务要区别处理
limits.conf 只影响通过 PAM 登录启动的进程，但很多服务并不走这条路：
-
systemd 服务（如 nginx、redis）：完全无视 limits.conf，需在
/etc/systemd/system/*.service的[Service]段加LimitNOFILE=65535，或全局设/etc/systemd/system.conf中的DefaultLimitNOFILE=65535 -
Docker 容器：需启动时加
--ulimit nofile=65535:65535，或在docker-compose.yml中配置ulimits字段 -
crontab 任务：cron 不读 PAM，建议在脚本开头显式加
ulimit -n 65535
验证是否真正生效的三步法
改完不能只信配置文件，要用真实环境验证：
- 重新登录后，立即运行
ulimit -n，确保输出是目标值（如 65535） - 启动你的服务进程（比如
java -jar app.jar），再执行cat /proc/$(pgrep -f "app.jar")/limits | grep "Max open files"，确认Soft Limit和Hard Limit都已更新 - 观察日志是否还有 "too many open files"，同时用
lsof -p $(pgrep -f "app.jar") | wc -l看实际占用是否稳定在新上限内
