资源、日志与运行可观测性¶

Docker 默认不会自动给容器设置 CPU 和内存上限。单个异常容器可能消耗整台主机资源，因此生产运行必须同时设置资源、日志轮转、健康检查和宿主机监控。

CPU 与内存¶

docker run -d --name app \
  --cpus 2 \
  --memory 1g \
  --memory-reservation 768m \
  --pids-limit 300 \
  registry.example.com/app:1.4.0

Java 容器还要协调 JVM Heap、Non-Heap、线程栈、Direct Memory 与容器 limit。-Xmx 等于容器内存上限会不给其他内存留空间，容易 OOMKilled。

docker stats
docker inspect --format '{{.State.OOMKilled}} {{.State.ExitCode}}' app
docker top app

CPU 达到 --cpus 后通常表现为 throttling 和延迟上升，不一定退出；内存硬上限可能触发 OOM Kill。还要结合宿主机 CPU、内存、磁盘 I/O、网络和 cgroup 指标判断。

容器 stdout/stderr 由 logging driver 处理。默认 json-file 若不限制大小可能写满磁盘。可在 daemon.json 使用 local，或为 json-file 配置轮转：

{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "20m",
    "max-file": "5"
  }
}

Daemon 默认日志配置只影响新创建容器，已有容器通常要重建才会采用。不要直接用编辑器截断 Docker 管理的日志文件；先确认驱动和文件路径，再通过正确轮转/重建处理。

docker info --format '{{.LoggingDriver}}'
docker inspect --format '{{.HostConfig.LogConfig.Type}}' app
docker logs --since 30m --timestamps app

远程日志驱动或 Agent 应明确后端不可用时是阻塞、缓冲还是丢弃。应用日志至少带时间、服务、版本、实例和 Trace ID，并避免密码、Token 和完整敏感正文。

HEALTHCHECK --interval=30s --timeout=3s --start-period=40s --retries=3 \
  CMD curl -fsS http://127.0.0.1:8080/health || exit 1

Docker 将容器标记为 unhealthy，但普通 Docker Engine 不会仅因 unhealthy 自动重启容器。重启策略针对进程退出：

docker run --restart unless-stopped ...

健康检查要快速、稳定、低开销。不要把所有非关键下游都绑定进去，否则一个依赖抖动会让所有实例同时 unhealthy。