[bug] hub-server 泄漏 wget 僵尸进程，累计 150+ 不回收

[DeliciousBuding]

现象

hk2 生产环境 td-agenthub 容器内 ./server-hub 进程（PID 5964）持续泄漏 wget 僵尸进程。

• 发现时间：2026-07-12 23:44 HKT
• 僵尸数量：148 → 150（持续增长）
• 父进程：./server-hub (PID 5964)，AgentHub hub-server
• 运行时长：自 2026-07-09 起约 3 天
• 增长率：约 50/天

证据

# ps -eo pid,ppid,stat,comm | awk "\$3 ~ /Z/ {print}" | head -5
   1854    5964 Z    wget
  49875    5964 Z    wget
  64770    5964 Z    wget
  ...
# ps -eo stat | grep -c Z
150

# 所有僵尸的父进程
147  ppid=5964 (server-hub)
  1  ppid=1289582 (mihomo)

推测根因

Go 进程通过 os/exec 或 syscall 调起 wget 子进程（可能是健康探活、外部资源拉取），但未调用 Wait() / Wait4() 回收子进程退出状态，导致僵尸累积。

影响

• 每个僵尸占用一个 PID slot 和少量内核 task_struct 内存
• 150 个尚不对系统产生实质压力，但单调增长最终会触达 pid_max
• hk2 当前 steal 87-89% 已经是独立问题，与僵尸无关

临时处理

2026-07-13 已将生产 hk2 td-agenthub 容器停止，compose 中注释，nginx 中 agenthub config disabled。确认当前 AgentHub 无活跃用户流量（日志仅 health check）后执行。

期望修复

1. 定位 server-hub 中调起 wget 的代码路径
2. 确保子进程正确 Wait() 回收
3. 如需外部健康探活，优先用 Go 内置 net/http 而非 shell out wget

[DeliciousBuding]

根因确认

wget 不是 Go 源码调用的 — 是 Docker healthcheck。

完整链路

Docker daemon (containerd/runc)
  │ 每 30-90s 执行 HEALTHCHECK CMD
  └─ sh -c "wget -qO- http://localhost:8080/health || exit 1"
       └─ wget (子进程)
            │ 父进程 = PID 1 (./server-hub)
            │ 退出 → SIGCHLD → PID 1
            │ Go runtime 只 reap os/exec 子进程
            │ 外源 Docker healthcheck 子进程不 reap
            └─ 💀 [wget] <defunct> (僵尸)

证据

1. Go 源码零 exec/os/exec/syscall.ForkExec — 全量搜索确认 hub-server 不自调 wget
2. Dockerfile:66 — HEALTHCHECK CMD wget ... （每 30s）
3. compose.yml 覆盖 — healthcheck: interval: 90s（每 90s）
4. docker-entrypoint.sh:34 — exec "\$@" → ./server-hub = PID 1
5. 生产数据 — hk2 3 天 150 僵尸 ≈ 2,880 次 healthcheck × ~5% 未 reap

为什么是 5% 泄漏率

Go runtime 的 SIGCHLD handler 用 WNOHANG 轮询时偶尔扫到外源子进程并 reap 掉，但不保证每次都命中。~95% 正常回收，~5% 累积成僵尸。

修复

PR #421 — 2 行 Dockerfile: apk add tini + ENTRYPOINT tini ...

tini 作为 PID 1 接管 SIGCHLD 并 reap 所有孤儿进程。零 Go 代码改动。Docker 最佳实践。