两个容器能否在同一主机的同一DISPLAY上分别启动Xserver？

咱们先理清楚几个关键问题，再一步步解决你的困惑：

为什么第二个容器没法启动DISPLAY=:1的Xserver？ #

1. 资源冲突是核心原因：
   容器确实有文件系统隔离，但如果你的Xserver配置碰了主机级别的共享资源（比如TCP端口、主机的Xauthority文件或/tmp/.X11-unix目录），就会撞车：

   • 你用xvfb-run -n 1指定了DISPLAY=:1，对应的TCP端口是6001。如果第一个容器用了--net=host，这个端口会被主机占用，第二个容器自然没法绑定；哪怕去掉--net=host，要是容器不小心共享了主机的/tmp/.X11-unix或者~/.Xauthority，第二个容器创建相同套接字或用同一认证文件时也会失败。
   • 看你提供的ps aux输出，Xvfb进程带了-auth /home/xxx/.Xauthority参数——如果这个路径指向的是主机的文件（比如你挂载了主机的home目录但没注意），那两个容器会共享同一个认证文件，这肯定会导致冲突。

2. 主机能看到容器进程是正常的：
   Docker不是虚拟机，它靠cgroup和namespace做隔离，但默认情况下，容器的进程会出现在主机的ps输出里（这是因为PID namespace隔离了容器内部的PID序列，但主机能看到所有系统进程）——这完全不代表容器没做资源隔离，不用慌。

怎么让两个容器各自启动独立的DISPLAY=:1的Xserver？ #

要实现这个，核心就是让每个容器的Xserver资源彻底隔离，按下面的步骤来：

1. 切断不必要的主机资源共享 #

确保你的容器没挂载主机的/tmp/.X11-unix、~/.Xauthority这类可能引发冲突的目录。你的run.sh里没挂这些，但要确认Dockerfile或其他启动脚本也没做这件事。

2. 调整xvfb-run命令，隔离每个容器的Xserver资源 #

修改启动命令，让每个容器的Xserver用自己专属的认证文件和套接字路径，同时避免跨容器的资源检查：

xvfb-run -n 1 -f /tmp/.Xauthority-local --server-args='-screen 0 1280x720x24 -shmem -nolisten tcp -auth /tmp/.Xauthority-local' firefox

• 用容器内的临时目录（比如/tmp）存Xauthority文件，彻底避开主机或其他容器的文件。
• 加上-nolisten tcp，让Xserver只使用Unix套接字——每个容器的/tmp/.X11-unix是独立的，套接字不会互相干扰。

3. 确保容器的基础隔离生效 #

Docker默认已经提供了PID namespace和文件系统隔离，只要你没加--pid=host这类共享主机PID的参数（你的命令里没有），就没问题。

4. 验证隔离效果 #

启动第一个容器后，进入第二个容器执行ls /tmp/.X11-unix，应该看不到第一个容器创建的X1套接字；反过来第一个容器也看不到第二个的，这就说明隔离生效了。

额外小建议 #

其实如果你不是必须要用DISPLAY=:1，最简单的办法是让xvfb-run自动分配可用的编号，去掉-n 1参数就行：

xvfb-run -f /tmp/.Xauthority-local --server-args='-screen 0 1280x720x24 -shmem -nolisten tcp -auth /tmp/.Xauthority-local' firefox

这样每个容器会自动用未被占用的编号，彻底避免冲突，省心很多。

内容的提问来源于stack exchange，提问作者Ryctus