docker top 是查看运行中容器进程最轻量可靠的方式，无需进入容器、不依赖镜像内置工具；支持 -eo 定制字段（如 pid,pcpu,comm,args）精准定位问题进程，并可结合 docker stats 实时比对资源与进程状态。
直接查看容器内部进程的运行状态，核心是获取容器命名空间内的实时进程快照，而不是进入容器或依赖应用层日志。关键在于用对命令、理解 PID 隔离机制，并根据场景选择侵入性与实时性平衡的方式。
用 docker top 查看基础进程视图
这是最轻量、最安全的原生方式，适用于快速确认主进程是否存活、有无异常子进程：
- 执行
docker top，默认显示 PID（容器内 PID）、USER、TIME、CMD 四列 - 加
-eo自定义字段，例如：docker top my-app -eo pid,ppid,pcpu,pmem,comm,args，可同时看到 CPU/内存占用和完整启动参数 - 注意：该命令仅对 正在运行的容器 有效；显示的 PID 是容器 PID namespace 内的编号，不是宿主机 PID
用 docker exec + ps/top 实时诊断
适合需要深入分析进程行为、排查卡死或资源泄漏的场景，等同于在容器内执行系统命令：
- 直接运行：
docker exec ps aux—— 查看全部进程快照，含用户、CPU、内存、启动命令 - 过滤特定服务：
docker exec ps aux | grep nginx - 动态监控：
docker exec -it top，支持交互式操作（如按 P 排序 CPU） - 优势是能使用完整 Linux 工具链，但需容器内有对应二进制（如 busybox 镜像可能无 top）
用 nsenter 无侵入式监控
生产环境推荐方式，不依赖容器内工具，也不触发 exec 审计日志，完全在宿主机完成：
- 先获取容器在宿主机的 init 进程 PID：
docker inspect -f '{{.State.Pid}}' - 再用 nsenter 进入其 PID namespace：
nsenter -t <pid> -p ps auxf</pid>，可看到树状进程结构 - 配合 watch 实现秒级刷新：
watch -n 1 'nsenter -t <pid> -p ps aux --sort=-%cpu'</pid> - 还能顺带访问
/proc/<pid>/cgroup</pid>查 cgroups 限制，或/proc/<pid>/root</pid>检查挂载点
结合宿主机视角交叉验证
当怀疑进程被误杀、OOM kill 或 namespace 异常时，需跳出容器看全局：
- 查容器对应宿主机 PID 后，执行：
ps -p -o pid,ppid,cmd,%mem,%cpu,etime - 对比
docker top中的 PID 和宿主机输出，确认是否一致（通常容器内 PID 1 对应宿主机某个高位 PID） - 若发现宿主机上该 PID 已消失，但
docker ps仍显示 running，大概率是 init 进程已退出但容器未及时回收——此时需检查docker inspect中的State.Status和State.OOMKilled
