需求背景 有的时候我们需要跑一些不一定安全（不受信任）的程序时，可以通过 docker 实现资源隔离，其执行时长也需要控制，如果执行时间太长就终止运行。 Docker 本身是否支持超时控制 从 2013 年开始每隔一段时间都有人呼吁 docker 官方来实现这个特性，但官方并不打算实现。 具体讨论细节请看 https://github.com/moby/moby/issues/1905 。 错误的方案 以上讨论中以及其他地方陆续有人提出“外围”解决方案，其中有两种常见的错误方案值得我们注意。 kill docker run timeout 3 docker run ... untrusted_program docker run 本身是一个 docker client 派生的进程，使用 kill docker run 进程来终止容器进程运行（比如通过 Linux 命令 timeout 或者类似发送 kill 到 docker run 进程）的方案都可能会有问题，导致容器进程无法终止。主要原因是： docker run 这个进程不一定能及时响应信号，即使响应了信号，也不一定能传到容器...... 如何限制 docker run 容器执行时长？ Docker
很多 Docker 用户都知道 docker inspect 命令，该命令用于获取容器/镜像的元数据，其中 -f 参数可以用于获取指定的数据，例如使用 docker inspect -f {{.IPAddress}} 来获取容器的 IP 地址。不过很多用户容易被该特性的语法搞晕，并很少有人能将它的优势发挥出来（大部分人都是通过 grep 来获取指定数据，虽然有效但比较零散混乱）。本文将详细介绍 -f 参数，并给出一些例子来说明如何使用它。 奇妙的 Docker Inspect 模版 编程语言
Linux Namespaces（Linux 命名空间）机制提供了进程使用操作系统资源时的隔离方式，是基于内核实现轻量级虚拟化（容器化，例如 docker）的实现基础。 具体来说就是当我们创建一个进程时，可以给进程设置 flag 组合来构建进程的命名空间，处于不同命名空间的进程是相互隔离的。 使用 Golang 操作 Linux Namespaces Linux
D 的个人博客