根本问题在于容器中 PID 1 进程不处理信号且不回收子进程，导致 SIGTERM 丢失、容器僵死并被强制 kill -9；推荐用 tini 作为轻量 init 自动转发信号并收割僵尸，或确保应用自身作为 PID 1 且正确响应信号。
根本问题在于容器里 PID 1 的进程不处理信号，也不回收子进程。Kubernetes 发出 SIGTERM 时，如果这个进程是 shell 或者没写信号监听逻辑的应用，信号就丢了，容器卡住、超时后被强制 kill -9。
用 tini 替代默认 init 进程
tini 是 Docker 官方推荐的轻量 init，自动做两件事：把收到的 SIGTERM/SIGINT 原样转发给你的应用；持续调用 waitpid() 清理僵尸子进程。
- Debian/Ubuntu 镜像：在 Dockerfile 中加
RUN apt-get update && apt-get install -y --no-install-recommends tini && rm -rf /var/lib/apt/lists/*
ENTRYPOINT ["/sbin/tini", "--"]
CMD ["python", "app.py"] - Alpine 镜像更简单：
RUN apk add --no-cache tini
ENTRYPOINT ["/sbin/tini", "--"]
CMD ["./server"]
确保应用自己当 PID 1 并响应信号
适合单进程、无 fork 子进程、且代码已支持信号监听的场景（比如 Go/Node.js/Python）。关键是要绕过 shell 中转——因为 sh 不会转发信号。
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 错误写法（sh 占 PID 1）：CMD ["sh", "-c", "python app.py"]
- 正确写法（exec 替换 shell）：CMD ["sh", "-c", "exec python app.py"]
- Go 要显式注册：signal.Notify(sigChan, syscall.SIGTERM, syscall.SIGINT)
- Node.js 要监听：process.on('SIGTERM', () => { server.close(); })
运行时补救：启用 Docker 内置 --init
不用改镜像，适合测试或临时修复。Docker 1.13+ 自带轻量 init，功能等效于 tini：
- 启动容器时加参数：docker run --init -d my-app:latest
- Kubernetes 中可在 Pod spec 里加：securityContext: { privileged: false } + 设置 initContainer 或使用 runtimeClass（需 dockershim 已弃用，建议 containerd 配置默认 init）
验证是否生效
部署后执行 docker stop 或触发 K8s 缩容，观察日志是否有清理动作输出；也可进容器查：ps -eo pid,ppid,comm | grep -E '^(1|tini)' 确认 PID 1 是 tini 或你的应用，而不是 sh。
