Cùng container nửa nhân: JVM cấu hình cho 1 nhân, Node vẫn fork 16 worker rồi OOM
Đo JVM và Node dưới giới hạn tài nguyên của Docker: cái nào đọc đúng, cái nào đọc sai, và hai kiểu chết hoàn toàn khác nhau khi hết bộ nhớ.
#docker
80 bài viết
Container bị giới hạn nửa nhân, 64 MB — nhưng nproc vẫn báo 16 nhân và meminfo báo 16 GB
Đo --cpus và --memory: giới hạn có tác dụng thật, nhưng container không nhìn thấy chúng. Kèm cách phân biệt mã thoát 137 do OOM với 137 do hết giờ dừng.
Hai bước chiếm 94,5% thời gian build — và chúng không phải chỗ người ta hay ngồi tối ưu
Dùng --progress=plain để đo thời gian từng bước build, xếp hạng chỗ tốn nhất, và kiểm chứng bằng cách sửa đúng chỗ đó rồi đo lại.
Ba lệnh sleep 3 y hệt nhau: xếp thành chuỗi mất 10,2 giây, xếp độc lập chỉ 3,7
Đo ba hình dạng đồ thị phụ thuộc trong Dockerfile, giới hạn song song thật, và cơ chế khử trùng lặp khiến việc lặp lại một bước không tốn gì.
requirements.txt của tôi ghi 2 dòng, ảnh Docker thật chạy 13 gói Python — SBOM liệt kê hết, và lúc có CVE tôi grep thay vì mở từng container
Bật SBOM và provenance cho ảnh Docker: chi phí thật 3,98%, 130 thành phần được liệt kê, và digest image nền được ghi lại để build lặp lại được kể cả khi tag đã trỏ đi nơi khác.
COPY rồi rm token: docker history sạch, filesystem sạch, mà bí mật vẫn nằm nguyên trong layer
Đo bốn cách đưa bí mật vào lúc build và tìm chuỗi bí mật ở bốn chỗ. Chỉ một cách sạch hoàn toàn — và bí mật không tham gia vào khoá cache.