Docker容器可通过--tmpfs参数直接挂载tmpfs文件系统，需显式指定size限制（如size=128m）并推荐组合rw,noexec,nosuid,mode=1777等安全选项，避免内存耗尽风险。

Docker 容器运行时可通过 --tmpfs 参数直接挂载 tmpfs 文件系统，无需提前创建卷或修改镜像。这个参数在 docker run 命令中使用，语法简洁、生效即时。

基本用法与核心格式

命令结构为：
docker run --tmpfs : [其他参数]
其中 容器内路径 是容器启动后可见的挂载点（如 /tmp、/run、/app/cache），选项列表 用逗号分隔，必须包含访问控制和大小限制等关键配置。

必须设置 size 限制，否则有内存风险

tmpfs 默认不限大小，会持续占用主机内存直到触发 oom。生产环境务必显式指定 size=：

• size=64m 表示最多使用 64MB 内存
• size=2g 表示上限为 2GB
• 单位支持 k、m、g（不区分大小写）
• 未设 size 时，tmpfs 可能吃光主机 RAM，导致容器被 kill 或系统卡死

常用安全与权限选项组合

除 size 外，推荐搭配以下选项提升安全性与稳定性：

• rw：启用读写（默认即 rw，但建议显式写出）
• noexec：禁止执行任何二进制文件，防止上传恶意脚本被执行
• nosuid：忽略 setuid/setgid 位，避免提权风险
• mode=1777：对 /tmp 类目录设为粘滞位，允许多用户安全写入（如 /tmp:rw,noexec,nosuid,mode=1777,size=100m）

完整可运行示例

启动一个 Alpine 容器，将 /tmp 挂为 128MB 的安全 tmpfs：

Docker Encyclopedia

Docker 文档优先工作流：针对 Docker 特定问题、故障排除、命令规划、镜像/构建、容器/运行时操作及 Compose 等

下载

docker run -d \
  --name alpine-tmpfs \
  --tmpfs /tmp:rw,noexec,nosuid,mode=1777,size=128m \
  alpine:latest \
  tail -f /dev/null

进入容器验证：
docker exec -it alpine-tmpfs df -h /tmp —— 应显示 tmpfs 类型及 128M 总容量；
docker exec -it alpine-tmpfs mount | grep tmpfs —— 可查看完整挂载参数。