Docker部署Nginx必须限制CPU和内存：用--cpus设硬上限（如0.5），--memory与--memory-swap配平禁用swap；Compose中Swarm模式用deploy.resources.limits，非Swarm用mem_limit/cpus；推荐alpine-slim镜像、非root运行，并用docker stats和inspect验证。
在 Docker 中部署 Nginx 时，限制 CPU 和内存资源不是可选项，而是生产环境的必备操作。不设限容易导致单个容器吃光宿主机资源，引发 OOM Killer 杀进程、服务抖动甚至整机卡死。
CPU 限制：用 --cpus 最直接有效
推荐使用 --cpus 参数设定硬性上限，它基于 cgroups 的 CFS 配额机制，空闲和高负载下都稳定生效。
- --cpus=0.5 表示最多占用半个逻辑 CPU 核心（即每 100ms 周期内最多运行 50ms）
- 宿主机有 4 核，--cpus=1.2 就代表最多用 1.2 个核的计算时间，不会跨核抢占
- 避免只用 --cpu-shares（如 512/1024），它只是相对权重，仅在争抢时起作用，无法防止单容器打满 CPU
内存限制：必须配平 --memory 和 --memory-swap
内存必须设硬上限，且要禁用 swap 扩容，否则 -m 512m 却允许 swap 到磁盘，等于没限。
- -m 512m 限定物理内存最大为 512MB
- --memory-swap=512m 让总内存+swap = 512MB，等效于彻底禁用 swap
- 切勿只写 -m 512m 而不设 --memory-swap，否则系统可能因换页风暴卡死
Docker Compose 写法：注意 deploy 层级与模式适配
用 docker-compose 部署时，资源参数必须放在 deploy.resources.limits 下，且仅在 Swarm 模式下生效；非 Swarm 模式需改用 legacy 字段。
- Swarm 模式（推荐用于生产编排）：
services:
nginx:
image: nginx:alpine-slim
deploy:
resources:
limits:
cpus: '0.5'
memory: 384M
- 非 Swarm 模式（如本地开发）应改用：
nginx:
image: nginx:alpine-slim
mem_limit: 384m
cpus: 0.5
配套建议：镜像选型 + 运行验证不能少
光设参数不够，还要让 Nginx 自身轻量、行为可控，并确认配置真实生效。
- 基础镜像优先选 nginx:alpine-slim 或 nginx:slim，体积小、启动快、攻击面窄
- Nginx 容器内应以非 root 用户运行，减少权限滥用风险
- 上线前用 docker stats nginx 实时观察 CPU% 和 MEM USAGE / LIMIT 是否贴近上限
- 用 docker inspect nginx | grep -A 5 HostConfig 查 NanoCpus 和 Memory 字段，验证参数已写入 cgroups
