容器资源限制的核心在于linux内核的cgroups机制，而非docker自带功能；它通过cpu、memory等子系统实现cpu时间配额（cfs_quota_us/cfs_period_us）、相对权重（cpu.shares）、内存硬上限（memory.limit_in_bytes）及swap协同控制，并需区分cgroups v1/v2配置路径与接口。
容器资源限制的核心在于 cgroups，它不是 Docker 或 rkt 自带的功能，而是 Linux 内核提供的底层机制。CPU 和内存隔离不是“开关式”操作，而是通过配置特定子系统的接口文件来实现的——关键在于理解每个参数的实际含义和生效条件。
CPU 隔离：两种方式，用途完全不同
CPU 控制分两类：一种是硬性时间配额，一种是相对权重分配，二者不能混用。
-
硬性限制（推荐用于生产）：用
cpu.cfs_quota_us和cpu.cfs_period_us组合控制实际可用 CPU 时间。例如设 period=100000μs（即 100ms），quota=50000μs，就表示该 cgroup 每 100ms 最多运行 50ms，等效于 50% 的单核利用率。Docker 的--cpus="0.5"就是自动算出这个组合并写入。 -
权重分配（适合多容器共存场景）：用
cpu.shares设置相对份额，默认 1024。若 A 设为 2048、B 设为 1024，当两者同时争抢 CPU 时，A 获得约 2/3 时间，B 约 1/3；但若只有 B 运行，它仍可用满全部 CPU。Docker 的--cpu-shares直接映射此值。 -
绑定物理核心（提升确定性）：通过
cpuset.cpus指定允许使用的 CPU 编号，比如"0-1"或"0,2"。这对实时性要求高的服务（如音视频转码）很关键，也能避免跨核缓存失效带来的性能抖动。
内存隔离：上限与交换必须协同设置
内存限制看似简单，但只设 --memory 很可能引发意外 OOM，因为内核默认允许使用等量 swap。真正可控的内存上限由两个值共同决定：
-
硬上限：通过
memory.limit_in_bytes（Docker 的--memory）设定。一旦进程组总内存使用（含 page cache）超过该值，内核 OOM Killer 会按评分规则杀掉其中某个进程。 -
swap 总量：
memory.memsw.limit_in_bytes是内存 + swap 的总上限。Docker 中用--memory-swap控制，且必须 ≥--memory。若设--memory=512m --memory-swap=1g，表示最多用 512MB 物理内存 + 512MB swap；若设--memory-swap=-1，则不限 swap（不推荐）。 -
注意 soft limit：cgroups v1 支持
memory.soft_limit_in_bytes，但仅在内存紧张时起作用，实际生产中极少使用；v2 已移除该字段，统一用压力反馈机制替代。
cgroups 版本差异直接影响配置方式
当前主流系统大多已启用 cgroups v2，但它和 v1 的路径、文件名、逻辑都不同，混用会导致配置无效。
-
v1 是多挂载点：
/sys/fs/cgroup/cpu/、/sys/fs/cgroup/memory/各自独立，可分别挂载、分别控制。 -
v2 是单一层级：所有控制器统一挂载在
/sys/fs/cgroup/下，一个目录同时控制 CPU、内存、IO 等。需先启用 unified hierarchy（通常 systemd 默认开启），再用memory.max、cpu.max等新接口文件。 -
检查当前模式：运行
stat /sys/fs/cgroup | grep Type，若显示cgroup2即为 v2；或直接看/sys/fs/cgroup/cgroup.controllers是否存在。
验证是否生效：别只看命令参数
容器启动后，不能只信 docker inspect 输出，要进 cgroup 目录查真实值。
- 找到容器对应 cgroup 路径：Docker 通常在
/sys/fs/cgroup/cpu/docker/<container-id></container-id>（v1）或/sys/fs/cgroup/docker/<container-id></container-id>（v2） - 读取关键文件：
cat cpu.max（v2）或cat cpu.cfs_quota_us（v1）确认 CPU 配置；cat memory.max或cat memory.limit_in_bytes确认内存上限。 - 观察实时使用：
cat cpu.stat查已用时间，cat memory.current查当前内存占用，比容器内 top 更准确。
