docker top 不直接显示进程树，但通过 PID 和 PPID 字段可构建父子关系；结合 pstree 和 nsenter 等宿主机命令，无需进入容器即可动态审计进程拓扑、资源分布与生命周期异常。
docker top 本身不直接显示进程树（tree）结构，但它输出的 pid 和 ppid 字段天然携带父子关系，是构建进程拓扑的基础。结合轻量命令链，你完全可以在不进入容器、不安装额外工具的前提下，动态审计容器内活跃进程的层级结构与资源分布。
直接用 docker top 提取带父子关系的进程快照
运行以下命令，获取容器内所有进程的 PID、父 PID、命令名和资源占用：
docker top my-app -eo pid,ppid,comm,%cpu,%mem,args
-
pid是容器命名空间内的进程 ID（从 1 开始） -
ppid指向其父进程（若为 0 或 1，通常表示 init 进程或孤儿进程） -
comm是精简命令名（如nginx），args是完整启动参数（含路径和选项） -
%cpu/%mem反映当前采样周期的资源占比（注意：cgroup 限制下该值为容器内相对占比，非宿主机全局占比）
用 pstree 实时还原命名空间内进程树
docker top 不画树，但 pstree 可以——只要拿到容器主进程在宿主机上的真实 PID：
CONTAINER_PID=$(docker inspect -f '{{.State.Pid}}' my-app)
pstree -p $CONTAINER_PID这会输出类似：
nginx(1)─┬─nginx(7)
└─nginx(8)✅ 真实反映容器内 PID 命名空间的派生关系，包括多线程（带 [{xxx}] 标识）、守护进程 fork 行为，且无需容器内存在 pstree 命令。
动态刷新 + 拓扑+性能联动监控
把进程树和实时指标结合起来，实现“有结构的性能审计”：
watch -n 1 'CONTAINER_PID=$(docker inspect -f "{{.State.Pid}}" my-app); echo "=== Process Tree ==="; pstree -p $CONTAINER_PID; echo -e "\n=== Top CPU Consumers ==="; nsenter -t $CONTAINER_PID -p ps auxf --sort=-%cpu | head -n 12'- 每秒刷新一次
- 上半部分展示稳定拓扑结构（谁启了谁）
- 下半部分按 CPU 排序列出前 12 个进程，
ps auxf自动缩进显示层级，nsenter确保看到的是容器内视角
补充审计维度：识别异常生命周期行为
真正体现“动态审计”的，不只是看树长什么样，而是观察它怎么变：
- 启动瞬间：
pid=1进程是否稳定？有无快速启停的子进程（可能 crash-restart 循环） - 长期运行中：
ppid持续为 1 的进程是否越来越多（疑似子进程被 init 收养，原父进程已退出） - 内存驻留：对比
ps auxf中同一comm的多个实例的VmRSS（需nsenter进/proc/$PID/root/proc/*/status查）
不复杂但容易忽略：进程树不是静态快照，而是容器健康状态的拓扑指纹。一次 docker top + pstree 组合，就能确认应用是否按预期分层运行，而非堆叠成扁平僵尸进程池。
