在Docker容器内使用cgroup v2需以`--privileged --cgroupns=host`启动。作者用Docker跑模糊测试时，容器内存超限会触发OOM杀死整个容器，包括自动恢复守护进程。为让OOM只杀模糊器，需直接管理cgroup，但默认命名空间限制操作；加上`--cgroupns=host`后即可控制宿主机cgroup，保护守护进程。