tmpfs挂载构建“无状态零痕迹底座”的核心是将/tmp、/run、/var/cache/*、/etc/secrets等路径锁入内存，强制size限制与noexec/nosuid/ro等安全选项，并统一使用--mount语法，配合启动脚本禁用落盘行为、清理陈旧文件、设置umask，确保容器终止后数据彻底清空、不残留、不越权。
用 tmpfs 挂载构建微服务的“无状态零痕迹底座”，核心是把所有运行时临时数据、敏感中间态、缓存和会话全部锁进内存，确保容器生命周期一结束，所有痕迹彻底清空——不落盘、不残留、不共享、不越权。
明确哪些路径必须用 tmpfs
不是所有目录都适合。重点覆盖以下四类：
- /tmp：默认临时目录，极易被应用写入调试日志、上传中转文件、解压缓存等
- /run /var/run：存放 PID、socket 文件、健康检查状态等运行时元数据
-
/var/cache/*（如
/var/cache/nginx、/app/cache）：静态资源缓存、模板编译产物等非持久中间结果 - /etc/secrets /run/secrets（或自定义密钥挂载点）：避免将 TLS 证书、JWT 密钥、数据库凭据写入镜像层或卷中
严格限制大小与安全选项
tmpfs 不设限等于给容器开了内存后门。每个挂载点必须显式声明 size，并启用基础防护：
-
size=64m：按服务实际负载预估，例如 Nginx 缓存设 128m，轻量 API 服务设 32m；超限会报
No space left on device，但不会 OOM 杀进程 - noexec：禁止执行任何二进制或脚本，阻断恶意 payload 利用临时目录提权
- nosuid：忽略 setuid/setgid 位，防止权限提升攻击
-
mode=1777（仅对
/tmp类共享临时目录）：允许所有用户读写，但禁止删除他人文件
统一使用 --mount 语法，禁用 --tmpfs
--tmpfs 无法指定 size 和 mode，也不支持复用配置，已不适合生产级管控。推荐写法：
docker run -d \--name auth-service \--mount type=tmpfs,destination=/tmp,tmpfs-size=32m,tmpfs-mode=1777 \--mount type=tmpfs,destination=/run,tmpfs-size=16m,noexec,nosuid \--mount type=tmpfs,destination=/app/secrets,tmpfs-size=8m,noexec,nosuid,ro \-e SECRET_PATH=/app/secrets/jwt.key \my-auth:latest
注意：ro（只读）用于密钥类挂载，配合应用以只读方式加载；tmpfs-mode 是八进制数值，无需加 0 前缀（如 1777 而非 01777）。
配合启动脚本做运行时加固
仅靠挂载不够。容器启动后应主动清理潜在落盘行为：
- 在
ENTRYPOINT中取消/var/log的符号链接（若指向磁盘），改用syslog或 stdout 输出日志 - 禁用应用内自动创建本地 SQLite DB、LevelDB 或本地索引文件的行为（可通过环境变量关闭）
- 设置
umask 0077，确保新生成文件默认不可被其他用户访问 - 用
find /tmp -type f -mmin +5 -delete 2>/dev/null定期清理陈旧临时文件（配合 cron 或 sidecar）
