线上安全导出Java堆内存转储文件的核心是预埋自动机制：启动时配置-XX:+HeapDumpOnOutOfMemoryError和-XX:HeapDumpPath=/data/logs/heap_oom_%p_%t.hprof，确保路径可控、权限正确、不干扰业务；手动jmap仅限紧急场景且须满足用户一致、禁用live、避开/tmp等合规要求。
线上安全导出 Java 堆内存转储文件，核心是**不干扰业务、不引入风险、确保权限与路径可控**。手动用 jmap 并非首选，而应以“预埋自动机制 + 必要时低侵入干预”为原则。
启动时就配置自动触发（最推荐）
这是最安全、最及时、零人工干预的方式，适用于所有常规堆内存溢出（java.lang.OutOfMemoryError: Java heap space）：
- 在 JVM 启动参数中加入：
-XX:+HeapDumpOnOutOfMemoryError -XX:HeapDumpPath=/data/logs/heap_oom_%p_%t.hprof -
%p自动替换为进程 PID，%t替换为时间戳，避免覆盖，也方便定位 - 该机制在 OOM 抛出后立即写入，此时堆状态最真实，且不依赖外部工具 attach
- 注意：它对 Metaspace、Direct Memory、线程栈溢出等类型的 OOM 不生效
必须手动 dump 时的合规操作
仅限紧急排查、未预埋自动 dump 或需非 OOM 场景快照。务必满足以下条件：
- 执行用户必须与 Java 进程启动用户完全一致（禁止 root dump 普通用户进程）
- 确认目标 JVM 未加
-XX:+DisableAttachMechanism（JDK 8+ 默认开启） - 使用标准命令，禁用
live参数：jmap -dump:format=b,file=/data/logs/heap_manual_$(date +%s).hprof <pid> - 避免在业务高峰执行；若进程已卡顿，可加
-F强制，但快照可能不完整 - 输出路径不能是
/tmp（易被清理或空间不足），建议用独立日志盘，预留 ≥2 倍堆占用空间
容器环境特别注意事项
Docker/K8s 中常见失败，需提前适配：
立即学习“Java免费学习笔记（深入）”；
- 启动容器时必须添加能力：
--cap-add=SYS_PTRACE，否则jmap无法 attach - 避免使用 Alpine 镜像（默认无
jmap），改用openjdk:jre-slim或完整 JDK 镜像 - 在 K8s 中，可通过
initContainer或调试 Pod 注入 JDK 工具链，或使用jcmd替代（兼容性更好）：jcmd <pid> VM.native_memory summary或jcmd <pid> GC.heap_dump /path/to/dump.hprof
导出后立即做三件事
防止敏感泄露和分析受阻：
- 检查文件完整性：
head -c 4 heap_xxx.hprof应输出JAVA（十六进制4a 41 56 41） - 禁止用 vim/less 直接打开 ——
.hprof是二进制，会卡死终端 - 下载到本地后再用 MAT 分析；如需快速筛查密钥、密码等，可用
JDumpSpider扫描，避免人工翻查数 GB 文件
