Docker容器内进程是否应被宿主机可见？可被查看杀死是否属预期行为？

这完全是预期行为，你并没有用错Docker！下面给你拆解背后的原因和注意事项：

• Docker的隔离逻辑：不是“独立虚拟机”
  Docker容器不像传统虚拟机那样拥有独立内核，它是借助Linux内核的「命名空间（Namespaces）」实现资源隔离的。容器里的进程本质上还是运行在宿主机的内核中，只是被“圈”在了专属的命名空间里——比如容器内的进程会认为自己是PID 1，但在宿主机的全局视角下，它有一个真实的系统PID，所以用top、ps aux这类宿主机工具能看到它太正常了。

• 宿主机能杀死容器内进程的原因
  宿主机拥有系统最高权限，内核层面可以管控所有进程，不管它们属于哪个命名空间。不过要提醒一句：如果这个进程是容器的PID 1（也就是你docker run时指定的启动进程），直接在宿主机杀死它会导致整个容器退出；如果是容器内的子进程，杀死它可能不会影响容器本身，但还是建议尽量通过Docker专属命令来管理容器内的进程。

• 更安全的容器进程管理方式
  如果你想避免宿主机和容器进程混在一起查看，可以用docker top <容器ID/容器名>命令，它只会列出该容器内的所有进程，清晰又不易误操作。日常管理容器内进程时，优先用docker exec进入容器操作，或者用docker stop/docker restart来管控整个容器，这才是容器化运维的最佳实践。

内容的提问来源于stack exchange，提问作者Erel Segal-Halevi