Docker中配置Pid限制的核心是通过cgroup的pids.max设定硬上限，使超限的fork()/clone()调用失败并报“Resource temporarily unavailable”；推荐使用--pids-limit=256（Docker 20.10+，需cgroup v2启用），值写入/sys/fs/cgroup/pids.max，可进容器验证。
在 Docker 中配置 Pid 限制，核心是防止 fork 炸弹或线程泄漏导致容器失控——它不是靠“禁止创建进程”，而是通过 cgroup 的 pids.max 设定硬上限，让超出数量的 fork() 或 clone() 系统调用直接失败（报错 Resource temporarily unavailable）。
用 --pids-limit 参数（推荐，Docker 20.10+）
这是最直接、无需额外配置的方式，前提是宿主机启用 cgroup v2（现代 Linux 发行版默认开启）：
- 启动时加
--pids-limit=256，表示容器内最多运行 256 个进程/线程（含子进程和线程） - 设为
-1表示不限制（等同于不设置）；0会报错，不可用 - 示例：
docker run --pids-limit=128 -d nginx - 该值会写入容器内的
/sys/fs/cgroup/pids.max，可进入容器验证：cat /sys/fs/cgroup/pids.max
用 --cgroup-parent 手动绑定（兼容旧版本或批量管控）
适用于 Docker 版本较老、或需统一管理多个容器的场景（如限制一组服务共用同一 pids 上限）：
- 先在宿主机创建自定义 cgroup：
mkdir -p /sys/fs/cgroup/my-pid-limited - 写入限制值：
echo 384 > /sys/fs/cgroup/my-pid-limited/pids.max - 启动容器时绑定：
docker run --cgroup-parent=my-pid-limited -d myapp - 注意：需确认 Docker daemon 支持 cgroup v1（检查
/etc/docker/daemon.json是否含"cgroup-parent": "/sys/fs/cgroup"类配置）
验证是否真正生效
配置后务必验证，避免因内核未启用 pids 子系统或 cgroup v2 被禁用而静默失效：
- 进容器执行：
cat /sys/fs/cgroup/pids.max（v2）或cat /sys/fs/cgroup/pids/pids.max（v1） - 查看当前已用数：
cat /sys/fs/cgroup/pids.current - 运行
docker inspect 容器ID | grep PidsLimit可确认命令行设置是否被读取（仅对--pids-limit生效） - 若应用突然报
fork: Resource temporarily unavailable，基本说明限制已起作用
合理设值参考（按应用类型）
数值过小会导致正常业务失败（如 Java 线程池初始化失败），过大则失去防护意义：
- Nginx / 静态 Web 服务：128–256（worker 进程 + connection threads 足够）
- Node.js / Python 单进程应用：64–128（除非大量使用 worker_threads 或 multiprocessing）
- Java 应用（尤其 Spring Boot + Netty）：512–2048（取决于线程池大小、GC 线程、JIT 编译线程等）
- CI/构建类容器：可设更低（如 32–64），因其生命周期短且行为可控
