排障

«结论先行："free -h" 显示还有 40G 空闲、机器也没 OOM，但 JVM / Python / Node 进程就是起不来、报 "Cannot allocate memory (ENOMEM)"——十有八九不是内存真不够，而是内核

«结论先行："docker run --memory" 限的是物理内存（RSS），而 "ulimit -v" / "RLIMIT_AS" 限的是虚拟地址空间（VA）——两者是两条完全独立的预算线。绝大多数「明明给了 8G 内存、进程却 "C

«结论先行："Too many open files" 很少是「一个 bug」，它通常是三件事叠加——代码异常路径没 close（漏 fd）+ 进程 "ulimit -n" 软上限被设得太低（把正常用量放大成事故）+ 监控只盯 CPU/内存

«结论先行："df" 和 "du" 对不上、磁盘明明"看着还有空间"却写不进去，十有八九不是文件系统坏了，而是有进程还攥着一个已经被 "unlink" 删掉的大文件不放——目录项没了（所以 "du" 扫不到它），但 inode 和数据块因为

【背景】 我做了 5 年嵌入式，近两年主力在容器化和 K8s 运维。最近帮两个团队做镜像安全加固，被问得最多的一句话就是："线上出了 segfault / 内存越界，镜像里连 gdb 都没有，怎么查？" 热榜上有探针、OOM、资源声明的讨论

先说背景：日志是排障的命脉，但同时也是敏感信息泄露的重灾区。最近帮两个团队做安全加固，翻他们生产日志，身份证、手机号、银行卡号、甚至完整 JWT token 都明文躺在文件里——平时觉得没事，真出了数据泄露事故才追悔莫及。可反过来，把字段全

先说结论：网络里只要有任意一段链路的 MTU 比你端到端的包小，且中间设备又不做分片、又不回 ICMP Frag Needed，你看到的就不是"丢包"，而是"间歇性 502 / 连接正常但传输卡住"。这类问题最容易骗过 ping、骗过抓包的