精准监控容器进程需分层观测：用 docker top 快照进程、nsenter 深入命名空间、docker stats 对齐资源、/proc 直读内核数据，实现不侵入、不依赖、不遗漏。
精准监控容器内部进程，关键在于不侵入、不依赖、不遗漏——既要看到“谁在跑”，也要知道“为什么这么跑”。最直接有效的方案不是进容器，而是用 Docker 原生命令结合宿主机视角做分层观测。
用 docker top 快速抓取进程快照
这是最轻量、最可靠的方式：无需进入容器、不依赖镜像是否自带 ps 或 top，也不需要 root 权限。
- 查默认字段（PID、USER、TIME、CMD）：
docker top myapp_web_1 - 聚焦高 CPU 进程：
docker top myapp_api_1 -eo pid,pcpu,comm,args - 看父子关系和完整启动命令：
docker top myapp_db_1 -eo pid,ppid,comm,args - 过滤特定类型进程：
docker top myapp_app_1 -eo pid,comm,args | grep -E "(python|java)"
用 nsenter + ps 无侵入式深入命名空间
当需要更完整的进程树、环境变量或打开文件等信息时，nsenter 可直接进入容器的 PID 命名空间，完全不修改容器状态。
- 先获取容器主进程 PID：
CONTAINER_PID=$(docker inspect -f '{{.State.Pid}}' myapp_cache_1) - 列出全量进程（含层级）：
nsenter -t $CONTAINER_PID -p ps auxf - 每秒刷新并按 CPU 排序：
watch -n 1 'nsenter -t $CONTAINER_PID -p ps aux --sort=-%cpu'
结合 docker stats 定位资源异常源头
单看进程列表容易漏掉“高负载但低可见度”的问题。把资源指标和进程视图对齐，才能快速下钻。
- 查当前资源占用：
docker stats myapp_worker_1 --no-stream - 同步查对应进程：
docker top myapp_worker_1 -eo pid,pcpu,pmem,comm,args - 若发现某个 Java 进程
pcpu占 92%，但args显示它正在做日志轮转，就可判断是 I/O 密集型误判为 CPU 密集型
通过 /proc/$PID 直接读取内核暴露数据
容器本质是宿主机上的进程，所有运行时信息都已通过 /proc 暴露。只要拿到容器主进程 PID，就能绕过 Docker CLI 直接读取原始状态。
-
/proc/$CONTAINER_PID/cgroup：确认所属 cgroup，验证内存/CPU 限制是否生效 -
/proc/$CONTAINER_PID/ns/pid：检查 PID 命名空间是否隔离成功 -
/proc/$CONTAINER_PID/root：符号链接指向容器根文件系统，可用于验证挂载路径
