## 第一层：进程级隔离
最轻的隔离是进程边界：每个网站独立的进程与账号，A 站的 PHP 进程崩了不影响 B 站。配套动作包括每个站点独立的 PHP-FPM 池（独立的用户、进程数上限），目录权限按站点隔离。这一层解决的是"故障传染"的基本面，几乎零成本，多站合租的底线配置。
## 第二层：容器隔离
Docker 把每套站点装进容器：文件系统、进程空间、网络栈各自独立，依赖互不冲突——A 站要旧版扩展、B 站要新版运行时，容器化后各用各的镜像。隔离强度高于进程级，运维复杂度中等，还附带了部署标准化与迁移便利。多站合租的中大型场景，容器是性价比最高的一层。
## 第三层：资源限额
前两层管"隔离"，这一层管"限额"：即使隔离了，CPU、内存、IO、带宽还是共享的物理资源，某站一个大查询照样拖慢全机。限额手段按资源类型配齐：容器配 CPU 与内存上限，systemd 的 slice 配服务组限额，数据库给每站独立账号配连接数与资源组，Web 层用限流挡住单站的异常流量。限额的哲学是宁可让超标者变慢，不让它拖垮邻居。
## 第四层：分机隔离
最强的隔离是物理分开：高价值或高负载的站点迁到独立服务器，数据库与应用分层部署。成本逐级上升，换来的是故障域的根本缩小——一台机器的问题不再波及任何人。判断标准是业务价值与负载画像：核心业务、流量大户、合规要求高的站点，值得独占资源；长尾小站继续合租摊薄成本。
**怎么选。**四层不是四选一，是逐级加码的组合：进程与权限隔离人人该做，容器与限额在站点多于三个时收益明显，分机留给真正需要的主。成本压力与故障容忍度做平衡，顺云上先合租起步、按站点成长逐步拆出，是多数团队验证过的路径。