最直接有效的方式是通过 ulimit -u 设置用户最大进程数并配合 /etc/security/limits.conf 持久化限制；root 默认不受限，普通用户超限后 fork() 报错“Resource temporarily unavailable”，从而阻断 fork 炸弹。

最直接有效的方式是通过 ulimit -u 设置用户最大进程数，并配合 /etc/security/limits.conf 实现持久化限制。root 用户默认不受此限，普通用户一旦超出设定值，执行 fork() 就会报错 bash: fork: Resource temporarily unavailable，从而阻断 fork 炸弹扩散。

临时限制：用 ulimit -u 快速验证

适用于测试或紧急干预，仅对当前 shell 会话生效：

• 运行 ulimit -u 200，即限制当前用户最多运行 200 个进程（含子进程）
• 再执行 fork 炸弹 :(){ :|:& };:，几秒内就会因无法 fork 新进程而自动停止
• 注意：该设置不继承到新登录会话，重启终端即失效

永久限制：配置 /etc/security/limits.conf

这是生产环境必须做的加固步骤，需确保 PAM 模块已启用：

Linux Ai Server

Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。

下载

• 先确认 /etc/pam.d/login 或 /etc/pam.d/sshd 中存在这行：
  session required pam_limits.so
• 编辑 /etc/security/limits.conf，添加类似以下规则：
  alice hard nproc 300
@developers hard nproc 500
* hard nproc 200（对所有普通用户设兜底限制）
• hard 表示硬限制，用户无法自行提升；nproc 是关键字段，专控进程总数

区分 soft 和 hard 限制的实用逻辑

soft 限制可由用户临时调高（但不能超过 hard 值），适合开发调试；hard 限制由管理员设定，不可绕过：

• 例如写入：bob soft nproc 100 和 bob hard nproc 300
• bob 登录后可运行 ulimit -u 250，但无法设成 350
• fork 炸弹触发时，系统以 hard 为准强制拦截，与 soft 无关

验证是否生效及常见误区

限制不是设完就自动覆盖所有场景，需主动检查：

• 新用户登录后运行 ulimit -u 查看实际值，非 root 用户应显示你设定的数字
• root 不受 limits.conf 中 * 或组规则影响，如需限制 root，必须显式写 root hard nproc 1000
• systemd 服务可能绕过 limits.conf，若运行在用户 session 外（如 system slice），需额外配置 DefaultLimitNPROC 在 /etc/systemd/system.conf 中