容器内需要 headless:true + noSandbox:true + extraArgs 禁用 setuid/namespace sandbox，三者缺一不可。SIGUSR1 热重启对 headless 字段不能完全生效，需完整重启容器