在 Linux 系统中，资源限制管理是确保系统稳定性、安全性和公平性的核心机制。无论是防止单个用户进程耗尽所有内存导致系统崩溃，还是为容器化应用分配可控的 CPU、内存配额，亦或是限制后台任务对磁盘 I/O 的过度占用，资源限制都扮演着至关重要的角色。与 Windows 或 macOS 的图形化资源管理器不同，Linux 提供了从传统 Shell 级别限制（ulimit）到现代内核级控制组（cgroups）的多层次、精细化管理工具。本文将系统性地介绍 Linux 中资源限制的各类方法、适用场景、配置步骤以及最佳实践，帮助你构建一个健壮且可控的系统环境。

1. 为什么需要资源限制？

在深入命令之前，理解资源限制的必要性至关重要。

1.1 防止资源耗尽

  • 内存耗尽（OOM）：一个内存泄漏的进程可能吃光所有物理内存和交换空间，触发内核的 OOM Killer 随机终止进程，可能导致关键服务意外死亡。
  • CPU 占用 100%：一个陷入死循环或设计不良的进程可能独占一个或多个 CPU 核心，导致系统响应迟缓，其他任务无法获得计算资源。
  • 磁盘空间爆满：日志文件无限增长或失控的文件写入可能填满磁盘，导致系统无法创建新文件、写入日志，甚至无法启动新进程。
  • 文件描述符耗尽：未关闭网络连接或文件句柄的进程可能耗尽系统允许的最大文件描述符数，导致无法建立新的网络连接或打开文件。

1.2 实现资源隔离与公平性

  • 多用户系统：在服务器上，需要防止一个用户的失控进程影响其他用户的正常使用。
  • 容器与虚拟化：Docker、Kubernetes、LXC 等容器技术依赖 cgroups 为每个容器分配独立的资源配额，实现轻量级隔离。
  • 服务质量（QoS）：确保高优先级服务（如数据库）能获得足够的资源，而低优先级任务（如批量数据处理）不会干扰前者。

1.3 安全加固

限制进程可用的资源也是安全最佳实践的一部分，可以减缓某些拒绝服务（DoS）攻击或限制被入侵进程的破坏范围。

2. 传统 Shell 级限制：ulimit

ulimit 是内置于 Bash 等 Shell 中的命令，用于设置和显示当前 Shell 进程及其子进程的资源限制。它操作的是进程级别的限制，主要通过 setrlimit() 系统调用实现。

2.1 查看当前限制

ulimit -a

输出示例：

core file size          (blocks, -c) 0
data seg size           (kbytes, -d) unlimited
scheduling priority             (-e) 0
file size               (blocks, -f) unlimited
pending signals                 (-i) 15418
max locked memory       (kbytes, -l) 65536
max memory size         (kbytes, -m) unlimited
open files                      (-n) 1024
pipe size            (512 bytes, -p) 8
POSIX message queues     (bytes, -q) 819200
real-time priority              (-r) 0
stack size              (kbytes, -s) 8192
cpu time               (seconds, -t) unlimited
max user processes              (-u) 15418
virtual memory          (kbytes, -v) unlimited
file locks                      (-x) unlimited

2.2 常用限制项详解与设置

  • 打开文件数（open files）：限制进程能同时打开的文件描述符数量（包括网络套接字）。对于高并发服务器（如 Nginx、MySQL）至关重要。

    # 查看当前限制
ulimit -n
# 设置为 65535（仅当前会话有效）
ulimit -n 65535

  • 用户进程数（max user processes）：限制单个用户能创建的最大进程数（包括线程）。

    ulimit -u 4096

  • 核心文件大小（core file size）：进程崩溃时生成的核心转储文件的最大大小。设置为 0 可禁用核心转储（节省空间，但不利于调试）。

    # 允许生成最大 1GB 的核心文件
ulimit -c unlimited
# 或限制为 100MB
ulimit -c 102400

  • 数据段大小（data seg size） & 虚拟内存（virtual memory）：限制进程可用的堆内存和总虚拟地址空间。

    # 限制堆内存为 512MB
ulimit -d 524288
# 限制总虚拟内存为 2GB
ulimit -v 2097152

  • CPU 时间（cpu time）：限制进程累计使用的 CPU 时间（秒），超时后进程会被 SIGKILL 终止。

    # 限制进程最多运行 300 秒 CPU 时间
ulimit -t 300

2.3 永久生效的配置方法

ulimit 命令设置的限制仅对当前 Shell 会话及其子进程有效。要让限制对特定用户永久生效，需要修改其 Shell 的配置文件。

  1. 系统全局默认限制：编辑 /etc/security/limits.conf（或 /etc/security/limits.d/ 下的文件）。

    # 格式：   
# 为所有用户设置最大打开文件数为 65535
* soft nofile 65535
* hard nofile 65535


    为用户 “www-data” 设置内存限制
    www-data soft as 500000
    www-data hard as 1000000
    

    为组 “developers” 设置进程数限制
    @developers soft nproc 2048
    @developers hard nproc 4096
    • soft：软限制，用户可以自行提高，但不能超过硬限制。
    • hard：硬限制，只有 root 用户可以修改。
    • as：地址空间限制（虚拟内存）。
    • nofile：打开文件数。
    • nproc：用户进程数。

  2. 用户级配置：在用户的 /.bashrc 或 /.bash_profile 中添加 ulimit 命令。

    # 在 ~/.bashrc 末尾添加
    ulimit -n 65535
    ulimit -u 4096