先记住这个答案
在调试容器内进程（如使用 gdb、perf）或让容器与宿主机程序通过 System V 消息队列通信时，可分别加 --pid host 与 --ipc host。前者让容器共享宿主 PID 命名空间，容器内能看到宿主机全部进程，ps 显示 PID 与宿主一致；后者共享 IPC 命名空间，使 ipcs 可见同一批消息队列。代价是容器不再有进程与 IPC 隔离，容器内具有足够权限的用户（如 root）可以 kill 宿主进程，或读取、破坏宿主 IPC 资源；缓解能力大幅下降。
- 共享 PID 命名空间让容器内可见宿主机全部进程，但失去隔离
- 调试进程或使用宿主工具时可临时加 --pid host，但需谨慎
- --ipc host 用于与宿主共享 System V IPC，会暴露资源
共享 PID / IPC 命名空间的工作机制
Docker 默认每个容器拥有独立的 PID 和 IPC 命名空间。PID 命名空间使容器内进程的 PID 从 1 开始，并且只能看到本命名空间的进程；IPC 命名空间则隔离 System V 信号量、消息队列和共享内存。当使用 --pid host 启动时，容器不创建新的 PID 命名空间，而是加入宿主机的 PID 命名空间，因此容器内 ps -ef 能列出宿主机所有进程，容器主进程的 PID 就是宿主上真实的 PID，不再是 1。
--ipc host 类似，容器加入宿主的 IPC 命名空间，ipcs 输出的消息队列、信号量等与宿主机一致。此外，Docker 还支持 --ipc container:xxx 共享另一容器的 IPC，但共享宿主意味着最大范围暴露。注意两种参数独立，可以只共享 PID 或只共享 IPC，也可以同时使用，隔离等级取决于两者。
用 --pid host 附加宿主 gdb 调试崩溃进程
假设需要调试一个正在运行但行为异常的容器内进程，容器镜像精简未装调试工具。可改用 docker run --pid host -it ubuntu:22.04 启动临时容器，通过 gdb -p <PID> 附加到该进程（其在宿主上的 PID 可通过宿主 ps 获得）。此时 gdb 能看到目标进程的完整线程和内存布局，因为容器内看到的 /proc 与宿主一致，反映了所有宿主进程。
但这样做的约束是：容器必须是特权的或至少具有 SYS_PTRACE 能力，否则即使共享 PID 也无法附加。调试完成后应立即删除该容器。还需评估：容器内用户能查看宿主机所有进程命令行和 /proc/<pid>/environ，存在敏感信息泄露风险。所以只适合开发机或隔离环境，生产服务器不可取。
适用边界与隔离性代价
共享 PID 命名空间的失败边界：当容器内运行需要管理自身进程树的应用（如 init 系统或 SSH 服务）时，PID 1 不再是容器内专属的 init，容器可能无法正确回收僵尸进程，且 kill 1 会作用于宿主 init 进程，造成宿主关机。因此只有明确知道容器进程是简单单进程，或只作为调试工具箱使用时才安全。
--ipc host 的代价更直接：能进入容器且拥有相应权限的用户（如 root）可以通过 ipcrm 删除宿主上其他程序使用的信号量或消息队列，或读取共享内存内容。在运行关键数据库的容器中严禁使用。判断准则：进程与 IPC 隔离是 Docker 安全基础的一部分，除非你完全信任容器内代码，并明确需要该共享能力，否则保持隔离默认值。
容易答错的地方
- 共享 PID 后影响不大
- 错误地认为只是多看到进程，不危险。共享 PID 不仅暴露信息，容器内进程还能发送信号（如 kill）给宿主机任何进程，权限足够时可终止关键服务，等同于允许容器控制宿主。
- --ipc host 主要用于容器间通信
--ipc host共享的是 System V IPC，而容器间网络通信靠网络命名空间，两者无关。容器互 IPC 一般用--ipc container:xxx更安全，共享宿主是最大风险。
面试官还会怎么问？
--pid host 与 docker exec 有什么区别？
docker exec 进入容器仍受容器命名空间限制，不能看到宿主进程。--pid host 在启动时改变命名空间归属，使容器内视角与宿主一致，但 exec 也无法突破容器已有的 PID 命名空间边界。
共享宿主 PID 命名空间能让容器直接杀进程吗？
能。由于 PID 表示与信号权限在同一命名空间内有效，容器内用户可以对宿主机进程执行 kill，只要操作系统权限满足（如拥有同一 UID 或 root），默认真实 root 在容器内通常具有权限，但受 capability 限制。若带 --privileged 则完全无限制。
如果我只想用宿主上的某个程序调试容器，有替代吗？
可以用 nsenter 以宿主 PID 命名空间进入容器进程，无需 --pid host。例如 nsenter -t <容器主进程PID> -p -m 进入容器，这样容器本身保持隔离，只在宿主侧探查，安全性更高。
参考资料
示例用于理解所注明的运行环境与边界；延伸学习可结合原文中的更多案例。