Docker 不设资源限制导致宿主机 OOM 怎么预防和限制？

Question

仓乃文 · Accepted Answer

Docker 默认不限制容器资源使用，一个容器可以吃掉宿主机全部内存和 CPU。当容器内存泄漏或流量突增时，会触发 Linux 内核 OOM Killer，可能杀掉宿主机上的关键进程（如 SSH、数据库），导致整台机器不可用。

问题复现：
```bash
# 不设限制运行容器
docker run -d myapp
# 容器内存泄漏 → 占满宿主机内存 → OOM Killer 启动
# 可能杀掉宿主机上的 MySQL 而不是出问题的容器！

# 查看宿主机 OOM 日志
dmesg | grep -i "out of memory"
# 或
journalctl -k | grep -i "oom"
```

资源限制配置：
```bash
# 内存限制
docker run -m 512m --memory-swap 1g myapp
# -m 512m：内存限制 512MB
# --memory-swap 1g：内存+swap 总量 1GB（即 swap 为 512MB）
# --memory-swap 必须大于 -m，否则容器无法启动

# CPU 限制
docker run --cpus=1.5 myapp
# 限制最多使用 1.5 个 CPU 核心

# 综合限制
docker run -m 512m --memory-swap 1g --cpus=1.5 myapp
```

Docker Compose 配置：
```yaml
services:
  app:
    image: myapp
    deploy:
      resources:
        limits:
          memory: 512M
          cpus: "1.5"
        reservations:
          memory: 256M
          cpus: "0.5"
```

OOM 行为控制：
```bash
# --oom-kill-disable：禁止 OOM Killer 杀容器（慎用！）
docker run -m 512m --oom-kill-disable myapp
# 必须同时设置 -m，否则容器可以无限使用内存

# --oom-score-adj：调整 OOM 优先级（-1000 到 1000）
docker run --oom-score-adj=-500 myapp
# 值越小越不容易被 OOM Killer 杀掉
# 数据库容器建议设为 -500，普通应用设为 0
```

监控容器资源使用：
```bash
# 实时监控
docker stats
# CONTAINER ID  NAME  CPU %  MEM USAGE / LIMIT  MEM %

# 查看指定容器
docker stats <container_id>

# 只输出一次
docker stats --no-stream
```

补充说明：
- --memory-swap 包含内存和 swap，设为 -m 的 2 倍是常见做法
- 不设 --memory-swap 时，swap 默认等于 -m 的 2 倍
- 设 --memory-swap 等于 -m 表示禁用 swap
- 规则：生产环境所有容器必须设置内存限制，建议 CPU 也限制
- 容器内存限制应略大于应用实际峰值，留 20-30% 余量
- OOM 时 docker inspect 可查看 State.OOMKilled 字段