Docker容器内C++应用信号处理程序在CentOS7服务器上失效问题

问题根因排查与解决方案 #

1. 首先修复代码中的已知缺陷

你提供的C++代码存在两个直接影响信号注册的问题：

• 没有校验sigaction的返回值：你当前注册信号的代码int r = sigaction(signals[i], &action, nullptr);没有任何错误处理逻辑，建议先打印返回值和对应errno，即可直接确认在CentOS7环境下SIGSEGV的处理函数是否注册成功。
• 开启SA_ONSTACK flag但未配置信号栈：你的代码中action.sa_flags包含SA_ONSTACK参数，要求信号处理函数运行在独立的信号栈上，但你全程没有调用sigaltstack()系统调用分配这个栈空间。CentOS7使用的3.10版本内核在这种场景下会直接返回EINVAL错误，拒绝注册信号处理函数；而新版本内核（Mac上的Docker虚拟机使用的内核版本较高）会做兼容处理，自动fallback到进程默认栈，这就是环境差异的核心原因。

修复方案二选一：

• 直接移除SA_ONSTACK flag，信号处理函数使用进程默认栈
• 在注册信号处理函数前，先调用sigaltstack()分配独立的信号栈

2. 排查Docker启动配置差异

你手动exec进入容器启动应用时功能正常，说明镜像本身没有问题，差异来自于应用的启动上下文：

• 检查docker-compose配置中的安全相关配置：确认是否配置了security_opt、cap_drop等参数，是否有限制信号处理的规则
• 测试关闭seccomp安全限制：CentOS7默认带的旧版本Docker（<=1.13）的默认seccomp策略对同步信号处理存在缺陷，可以在启动容器时临时加上--security-opt seccomp=unconfined参数验证，如果功能恢复正常，要么升级Docker到最新稳定版，要么自定义seccomp策略放开对应限制。

3. 关于PID1进程的信号问题解答

进程自发产生的同步信号（比如SIGSEGV、SIGFPE这类由进程自身执行错误触发的信号）是由内核直接发送给触发错误的进程，不需要经过PID1（tini）处理。只有从容器外部发送给容器的信号、或者容器内进程发送给PID1的信号才会由PID1处理/转发。你测试的kill -11 应用PID属于直接发送给目标进程的异步信号，也不需要经过tini转发，内核会直接投递。

内容的提问来源于stack exchange，提问作者Miiz