Piped核心模式在Docker容器内无法生成核心转储的问题求助

问题重现 #

先明确我们遇到的场景：
主机上配置了管道式核心转储模式，指向一个简单的shell脚本，能正常生成核心文件：

# 主机端core_pattern配置
vagrant@myhost:~$ cat /proc/sys/kernel/core_pattern
|/var/core-manager.sh %t

对应的核心管理脚本：

#!/bin/bash
(
file=/tmp/mycore.$1
cat > $file < /dev/stdin
)

在主机上执行kill -SIGSEGV触发进程崩溃后，/tmp/mycore.*文件能正常生成。

但在busybox容器内，即使继承了同样的core_pattern，脚本也添加了执行权限，ulimit也设为unlimited，触发崩溃后却始终没有生成核心文件：

/ # cat /proc/sys/kernel/core_pattern
|/var/core-manager.sh %t
/ # ulimit -c unlimited
/ # sleep 100 &
/ # kill -SIGSEGV %1
/ # [1]+  Segmentation fault (core dumped) sleep 100
/ # ls -lrt /tmp/mycore*
ls: /tmp/mycore*: No such file or directory

可能的原因 #

1. Shell解释器不匹配 #

你的脚本使用了#!/bin/bash作为shebang，但busybox容器默认没有/bin/bash，只有/bin/sh（实际是ash兼容的shell）。当内核尝试启动脚本时，找不到指定的bash解释器，直接导致脚本执行失败，自然无法生成核心文件。

2. Docker默认安全机制限制 #

Docker默认启用了seccomp和AppArmor安全策略，这些策略会限制容器内进程的系统调用和操作权限：

• Seccomp默认profile可能阻止了内核启动管道脚本所需的某些系统调用（比如带特定参数的execve，或者管道相关的操作）。
• AppArmor规则可能限制了脚本的执行权限，或者禁止向/tmp目录写入文件。

3. 容器PID 1的行为差异 #

容器内的PID 1是busybox，它和主机的init进程（比如systemd）处理子进程、信号的逻辑完全不同。管道式核心转储是由内核启动指定的脚本进程，而容器的PID 1可能没有正确处理这个管道关联的子进程，导致进程退出时核心数据没有被正常写入文件。

4. 内核与容器命名空间的隔离限制 #

内核在生成管道式核心转储时，是在内核上下文启动脚本进程，这个进程可能没有完全进入容器的命名空间（比如挂载命名空间），导致脚本无法访问容器内的/tmp目录，或者找不到容器内的脚本路径。

解决思路 #

1. 修正脚本的Shebang #

把脚本的第一行改成#!/bin/sh，适配busybox的shell环境：

#!/bin/sh
(
file=/tmp/mycore.$1
cat > $file < /dev/stdin
)

修改后重新添加执行权限，再测试触发核心转储。

2. 放宽Docker安全限制（临时测试用） #

如果是安全策略导致的问题，可以在启动容器时临时关闭seccomp或AppArmor，验证问题是否解决：

# 关闭seccomp限制
docker run -it --rm --security-opt seccomp=unconfined busybox

# 或者同时关闭AppArmor
docker run -it --rm --security-opt seccomp=unconfined --security-opt apparmor=unconfined busybox

如果测试能生成核心文件，说明是安全策略的问题，后续可以自定义seccomp/AppArmor profile来允许必要的操作，而不是完全关闭安全限制。

3. 使用主机侧的核心管理脚本 #

将core_pattern指向主机上的脚本，同时挂载一个共享目录到容器，让脚本把核心文件写入共享目录：

1. 主机上保持原有的/var/core-manager.sh脚本不变。
2. 启动容器时挂载主机的/tmp到容器的/tmp：

docker run -it --rm -v /tmp:/tmp busybox

这样即使容器内触发崩溃，主机的脚本也能生成文件到共享目录，容器内可以直接访问到。

4. 验证基础核心转储功能 #

先暂时切换到非管道式的core_pattern，确认容器内基础核心转储功能正常：

/ # echo "/tmp/core.%t" > /proc/sys/kernel/core_pattern
/ # ulimit -c unlimited
/ # sleep 100 &
/ # kill -SIGSEGV %1
/ # ls /tmp/core*

如果能生成文件，说明基础功能正常，问题确实出在管道式模式的配置或限制上。

内容的提问来源于stack exchange，提问作者eramos