debian ulimit优先级怎么定

在 Debian（以及大多数 Linux 发行版）里，**ulimit 的“优先级/生效顺序”**本质上是由 PAM + shell + 进程继承 + 系统限制 共同决定的。下面按“从早到晚、从底层到上层”的顺序说明。

一、ulimit 的来源层级（优先级从低到高）

1️⃣ 内核级硬限制（最底层）

• 由内核参数决定（如 fs.nr_open、kernel.pid_max 等）
• 任何 ulimit 都不能超过内核限制
• 查看：

  sysctl -a | grep fs
  

✅ 优先级最低，但不可突破

2️⃣ /etc/security/limits.conf（PAM 限制）

路径：

/etc/security/limits.conf
/etc/security/limits.d/*.conf

示例：

* soft nofile 1024
* hard nofile 65535
www-data hard nproc 512

生效条件：

• 必须通过 PAM 登录（login / ssh / su）
• 依赖：

  session required pam_limits.so
  

查看是否生效：

cat /proc/<pid>/limits

✅ 对“登录用户”优先级高于 shell 默认值

3️⃣ PAM limits.d 目录（覆盖 limits.conf）

• /etc/security/limits.d/*.conf
• 按 文件名字母顺序 加载
• 后加载的会覆盖前面的同名配置

✅ 比 limits.conf 更灵活，常用于包管理

4️⃣ Shell 启动文件（用户级）

例如：

~/.bashrc
~/.profile
/etc/profile
/etc/bash.bashrc

示例：

ulimit -n 2048

特点：

• 只在 交互式 / 登录 shell 生效
• 不能突破 hard limit
• systemd 服务 ❌ 不读这些文件

✅ 优先级低于 PAM hard limit

5️⃣ systemd 服务限制（最常见“不生效”原因）

Debian 默认用 systemd：

[Service]
LimitNOFILE=65535
LimitNPROC=4096

或：

systemctl edit nginx

✅ systemd 服务完全不读 limits.conf ✅ 优先级高于 shell ulimit

6️⃣ 进程自身调用 setrlimit()

• 程序内部代码修改
• 只能 ↓ 不能 ↑（除非是 root）

✅ 运行时最终生效值

二、优先级总结（重要）

硬限制（hard） > 软限制（soft）

总体顺序（从高到低控制能力）：

内核限制
  ↑
systemd / setrlimit
  ↑
PAM (hard limit)
  ↑
PAM (soft limit)
  ↑
shell ulimit

三、如何确认“最终是谁在限制你”

# 查看某进程最终限制
cat /proc/$(pidof nginx)/limits

# 查看当前 shell
ulimit -a

# 查看 PAM 是否启用
grep pam_limits /etc/pam.d/common-session

四、常见坑（Debian 特有）

❌ ssh 登录不生效
→ 检查 /etc/pam.d/sshd 是否有 pam_limits.so

❌ systemd 服务不读 limits.conf
→ 必须用 LimitXXX=

❌ docker 容器限制不生效
→ 宿主机 + 容器双层限制

如果你愿意，可以告诉我：

• Debian 版本
• 是 用户登录 / systemd 服务 / Docker
• 具体限制（nofile / nproc / core）

我可以给你精确配置示例。