根本解法是“分流+隔离+限界”：用tmpfs替代默认/tmp实现内存级隔离，对必须落盘的临时目录通过xfs project quota精确限界，并禁用挂载能力、重定向日志、清理残留文件以防止绕过配额。
容器内临时目录（如 /tmp、/var/log 或应用缓存路径）若直接写入容器根文件系统，容易与宿主机物理磁盘配额产生冲突——比如你给用户设了 5GB 配额，但容器却在 /tmp 写满 10GB，结果既突破了用户配额，又撑爆宿主机磁盘。根本解法不是“堵”，而是“分流+隔离+限界”：把临时数据从共享路径剥离，用内存级或配额可控的专用路径承载。
用 tmpfs 替代默认 /tmp，切断磁盘依赖
这是最直接有效的手段。tmpfs 完全驻留内存，不落地、不计入任何磁盘配额（包括用户 quota、XFS project quota 或 Harbor 项目 quota），天然规避冲突：
- 启动时挂载带 size 限制的 tmpfs：
docker run --tmpfs /tmp:rw,size=200m,noexec,nosuid alpine - 若需多目录隔离，可重复挂载：
--tmpfs /run:rw,size=50m --tmpfs /var/log:rw,size=100m - 注意：size 值必须明确指定单位（
m、g），否则默认为字节；超出后写入失败，应用需有容错逻辑
对 bind mount 的临时目录启用 XFS project quota
当必须落盘（如日志需持久保留、缓存需跨重启存在），又不能放根目录时，应将临时目录挂载到独立 XFS 分区，并用 project quota 精确控制其用量：
- 确保宿主机分区使用 XFS 并挂载时启用
pquota：mount -o remount,pquota /mnt/temp - 为容器挂载路径创建 project ID 并设硬限：
xfs_quota -x -c 'project -s applog' /mnt/temp→xfs_quota -x -c 'limit -p bhard=3g applog' /mnt/temp - 运行容器：
docker run -v /mnt/temp/applog:/var/log/myapp ubuntu，所有写入自动归属 project applog，受 3GB 限制
避免容器内应用绕过配额的三个关键动作
即使做了上述配置，应用仍可能通过隐式行为破坏配额体系：
-
禁用容器内挂载能力：加
--cap-drop=SYS_ADMIN，防止应用自行 mount 新设备或 bind mount 到未控路径 -
重定向标准日志输出：不要让应用直接往
/var/log写，改用docker logs机制，或通过log-driver推送到远程（如 fluentd），避免本地堆积 -
清理残留临时文件：在容器启动脚本中加入
find /tmp -type f -mmin +60 -delete类清理逻辑，防止长期运行后小文件累积突破配额
验证与监控：确认配额真正生效
配置完别信，要测：
- 进容器执行
df -h /tmp，看到的是 tmpfs 大小（如200M），而非宿主机磁盘容量 - 对 bind mount 路径，在宿主机运行
xfs_quota -x -c 'report -p' /mnt/temp，检查 project 使用量是否随容器写入同步增长 - 模拟超限：向受限目录持续写入，观察是否触发
No space left on device错误，而非 silently 卡死或溢出到其他路径
