最直接有效的方法是检查/proc/1/cgroup文件内容，辅以/.dockerenv文件存在性判断；cgroup中匹配docker、containerd、kubepods等关键词可准确识别主流容器运行时，而/.dockerenv仅能确认Docker环境但缺失不否定容器。
最直接有效的方法是检查 /proc/1/cgroup 文件内容，辅以 /.dockerenv 文件存在性判断；其他方式（如环境变量、mount 输出）要么不可靠，要么开销大、兼容性差。
读取 /proc/1/cgroup 是首选判断依据
容器中 PID 1 进程的 cgroup 路径天然携带运行时标识，Docker、containerd、Podman 等主流运行时都会在该文件中留下可识别字符串。cgroup v1 和 v2 下的匹配模式略有不同，需兼顾：
- cgroup v1：常见行形如
8:devices:/docker/abc123...或5:cpu,cpuacct:/system.slice/docker-abc123.scope - cgroup v2：路径可能为
0::/docker/abc123或更常见的是0::/kubepods/...、0::/io.containerd.runc.v2/... - 因此匹配关键词应包括
docker、containerd、crio、lxc、kubepods，而不仅限于docker - 必须读取
/proc/1/cgroup，不是当前进程（/proc/self/cgroup），因为容器内 PID 1 才代表初始化上下文
/.dockerenv 只能作为快速辅助，不能单独依赖
该文件由 Docker daemon 在启动容器时自动创建，但 Podman、containerd 直接运行的容器通常不生成它——所以它的存在能确认是 Docker 容器，但缺失不能否定容器环境。
- 检查方式简单：
access("/.dockerenv", F_OK) == 0 - 注意权限：某些加固容器会挂载
/.dockerenv为只读或移除，导致访问失败 - 不要用
fopen后判空——文件不存在时fopen返回NULL，但更轻量的是直接系统调用access()
C++ 实现示例：兼顾可移植性与最小依赖
以下函数不依赖 Boost 或第三方库，仅用 POSIX 标准接口，编译后可在 Alpine、Ubuntu、CentOS 等各类基础镜像中运行：
bool is_running_in_container() {
// 检查 /.dockerenv
if (access("/.dockerenv", F_OK) == 0) return true;
<pre class="brush:php;toolbar:false;">// 检查 /proc/1/cgroup
FILE* f = fopen("/proc/1/cgroup", "r");
if (!f) return false;
char line[512];
bool found = false;
while (fgets(line, sizeof(line), f)) {
if (strstr(line, "docker") || strstr(line, "containerd") ||
strstr(line, "crio") || strstr(line, "lxc") ||
strstr(line, "kubepods") || strstr(line, "pod") ||
strstr(line, "io.containerd")) {
found = true;
break;
}
}
fclose(f);
return found;}
- 不用
std::ifstream是为避免 C++ 标准库在极简镜像（如scratch或alpine:latest）中链接失败 - 逐行读取而非一次性
fread整个文件，防止超长行截断误判 - 未做大小写转换，因 Linux cgroup 文件内容全小写，无需额外开销
容易被忽略的边界情况
真实生产环境里，这几个点常导致误判：
立即学习“C++免费学习笔记（深入）”；
- 在 Kubernetes Pod 中，
/proc/1/cgroup里大概率出现kubepods或io.containerd，但几乎不会含docker——尤其 v1.24+ 默认弃用 dockershim - 使用
systemd作为 init 的容器（如ubuntu:22.04镜像加--init），PID 1 是systemd，其 cgroup 路径可能为/system.slice/docker-xxx.scope，仍可匹配 - 某些安全沙箱（如 gVisor、Kata）会虚拟化
/proc，/proc/1/cgroup内容可能为空或格式异常，此时需 fallback 到其他信号（如gethostname()返回随机字符串、ls /sys/fs/cgroup是否可读）
