docker部署nginx必须限制cpu和内存：用--cpus设硬上限（如0.5），--memory与--memory-swap配平禁用swap；compose中swarm模式用deploy.resources.limits，非swarm用mem_limit/cpus；推荐alpine-slim镜像、非root运行，并用docker stats和inspect验证。

在 Docker 中部署 Nginx 时，限制 CPU 和内存资源不是可选项，而是生产环境的必备操作。不设限容易导致单个容器吃光宿主机资源，引发 OOM Killer 杀进程、服务抖动甚至整机卡死。

CPU 限制：用 --cpus 最直接有效

推荐使用 --cpus 参数设定硬性上限，它基于 cgroups 的 CFS 配额机制，空闲和高负载下都稳定生效。

• --cpus=0.5 表示最多占用半个逻辑 CPU 核心（即每 100ms 周期内最多运行 50ms）
• 宿主机有 4 核，--cpus=1.2 就代表最多用 1.2 个核的计算时间，不会跨核抢占
• 避免只用 --cpu-shares（如 512/1024），它只是相对权重，仅在争抢时起作用，无法防止单容器打满 CPU

内存限制：必须配平 --memory 和 --memory-swap

内存必须设硬上限，且要禁用 swap 扩容，否则 -m 512m 却允许 swap 到磁盘，等于没限。

Crawl4ai Docker Skill

Docker化网页爬虫服务，支持REST API，可进行网页爬取与抓取，智能内容提取（基于 L...）

下载

• -m 512m 限定物理内存最大为 512MB
• --memory-swap=512m 让总内存+swap = 512MB，等效于彻底禁用 swap
• 切勿只写 -m 512m 而不设 --memory-swap，否则系统可能因换页风暴卡死

Docker Compose 写法：注意 deploy 层级与模式适配

用 docker-compose 部署时，资源参数必须放在 deploy.resources.limits 下，且仅在 Swarm 模式下生效；非 Swarm 模式需改用 legacy 字段。

• Swarm 模式（推荐用于生产编排）：

version: '3.8'
services:
  nginx:
    image: nginx:alpine-slim
    deploy:
      resources:
        limits:
          cpus: '0.5'
          memory: 384M

• 非 Swarm 模式（如本地开发）应改用：

services:
  nginx:
    image: nginx:alpine-slim
    mem_limit: 384m
    cpus: 0.5

配套建议：镜像选型 + 运行验证不能少

光设参数不够，还要让 Nginx 自身轻量、行为可控，并确认配置真实生效。

• 基础镜像优先选 nginx:alpine-slim 或 nginx:slim，体积小、启动快、攻击面窄
• Nginx 容器内应以非 root 用户运行，减少权限滥用风险
• 上线前用 docker stats nginx 实时观察 CPU% 和 MEM USAGE / LIMIT 是否贴近上限
• 用 docker inspect nginx | grep -A 5 HostConfig 查 NanoCpus 和 Memory 字段，验证参数已写入 cgroups