最准确轻量的方式是查容器主进程的/proc//fd/目录。先用docker inspect获取pid，再ls -1 /proc//fd/ | wc -l统计；lsof会漏掉内核对象和deleted文件，而/proc//fd/包含全部已分配fd。
直接查容器内主进程的 /proc/<pid>/fd/</pid> 目录是最准确、最轻量的方式。容器本身不提供“整体句柄数”统计接口，它只是进程的运行环境，真正占用句柄的是容器里运行的那个（或那几个）进程。
查容器内主进程的文件句柄数
先获取容器内主进程 PID：
- 用
docker inspect -f '{{.State.Pid}}' <container_name_or_id></container_name_or_id>获取 PID - 再执行
ls -1 /proc/<pid>/fd/ 2>/dev/null | wc -l</pid>
例如：pid=$(docker inspect -f '{{.State.Pid}}' my-nginx)ls -1 /proc/$pid/fd/ 2>/dev/null | wc -l
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
为什么不用 lsof | wc -l？
lsof 默认会过滤掉 eventpoll、inotify、anon_inode 等内核对象，也跳过已删除但仍被引用的文件（(deleted)），导致结果偏小。而 /proc/<pid>/fd/</pid> 是内核直接暴露的 fd 句柄列表，包含所有已分配且未关闭的描述符，统计更完整、更稳定。
注意权限和视角问题
该方法必须在宿主机 root 权限下执行（普通用户无法读取其他用户的 /proc/<pid>/fd/</pid>）；
容器内执行 ulimit -n 或 ls /proc/self/fd 查到的是容器视角的限制和使用量，但该限制由 dockerd 启动参数（如 --default-ulimit nofile=...）决定，与宿主机 limits.conf 无关；
宿主机上 /proc/sys/fs/file-nr 显示的是整个系统的句柄使用情况，不是单个容器的。
快速定位高句柄容器
如果想批量排查哪些容器占用了大量句柄，可以写个小脚本：
- 遍历所有运行中容器，取其 PID
- 统计每个 PID 对应的 fd 数量
- 按数量倒序输出 top 5
实际效果比反复用 lsof -p 更快，尤其在上百容器场景下。
