直接将高频读写路径挂载到内存（tmpfs）是提升容器IO最有效手段之一，需选对路径（如/tmp、/run、/app/cache等）、限制size（如size=128m）、配置安全选项（noexec/nosuid/mode）并避免与volume冲突。
直接把高频读写路径挂到内存里，是提升容器 IO 最有效的手段之一。关键不是“挂了就快”，而是挂对位置、控住大小、防住冲突。
哪些路径适合 tmpfs 锁进内存
只对真正短命、易变、不落盘的路径下手，才能发挥最大收益：
- /tmp：通用临时区，解压、日志缓冲、中间计算常用
- /var/run 或 /run：存放 socket、pid、健康检查文件，避免磁盘延迟拖慢服务响应
- /app/cache、/var/cache/*：如 Node.js 编译缓存、PHP OPcache 元数据、Go build 中间产物
- /run/secrets 或自定义密钥目录：敏感凭证临时加载，既提速又杜绝落盘风险
挂载时必须显式限制 size
不设 size 相当于把内存闸门打开——tmpfs 默认可吃掉主机一半内存，极易触发 OOM 杀进程：
- 单位用小写：
size=128m（不是128M），支持k、m、g - 微服务参考值：API 网关缓存 64–128MB，Node.js 缓存 128–256MB，实时处理类服务可到 1GB
- 所有 tmpfs 总和建议 ≤ 宿主机可用内存的 15%～20%，留足余量给系统和其他容器
安全与稳定配置不能省
内存虽快，但裸挂有风险，基础防护项要写全：
- noexec：禁止执行任何二进制文件，防恶意依赖在内存中起手
- nosuid：忽略 setuid/setgid 权限位，切断提权路径
- mode=1777（对 /tmp）或 mode=0700（对私有缓存）：权限收严，避免越权访问
- 避免与 volume 冲突：同一路径不能既挂 volume 又挂 tmpfs，后者会静默覆盖前者，导致配置丢失
两种主流挂载方式实操示例
命令行启动（适合调试或单容器）：
docker run -d \ --name api-cache \ --tmpfs /var/cache/nginx:rw,noexec,nosuid,size=128m \ --tmpfs /tmp:rw,noexec,nosuid,mode=1777,size=64m \ nginx:alpine
Compose 配置（推荐生产）：
services:
worker:
image: node:18-alpine
tmpfs:
- /app/.cache:rw,noexec,nosuid,size=256m
- /tmp:rw,noexec,nosuid,mode=1777,size=64m注意：tmpfs 是 service 级别字段，不能写在 volumes 块里；每项为 路径:选项 格式。
