容器运行时深度实战：从 containerd 架构核心、OCI 运行时规范到 Rootless 容器与 gVisor/Kata 安全沙箱的完全工程指南
容器运行时深度实战完全指南：从containerd架构核心、OCI规范三件套、OCI运行时选型、CRI接口层、Rootless容器、安全纵深防御、CNI网络、镜像优化、可观测性到生产级部署与未来趋势
容器安全
eBPF 运行时容器安全与可观测性实战：从 Syscall 追踪到零侵入威胁检测
在云原生时代，容器的短生命周期和共享内核模型让传统安全工具捉襟见肘。本文深入剖析 eBPF 在容器安全领域的核心原理和工程实战，涵盖系统调用监控、容器逃逸检测、内核漏洞利用检测、加密挖矿识别等场景。
Linux Seccomp Notify 深度解析：用户态系统调用代理与容器安全工程实战
深入解析 Linux Seccomp Notify (SECCOMP_RET_USER_NOTIF) 机制的完整架构与工程实践，涵盖内核实现、libseccomp API、Rust异步代理、runc集成、ADDFD注入、与LSM/BPF的对比等深度内容。包含完整的C语言最小代理示例和Rust异步处理框架代码。
SYSCALL_USER_DISPATCH：从内核原语到 gVisor 风格轻量级沙箱
Linux 5.11 引入的 SYSCALL_USER_DISPATCH 机制允许用户态程序拦截系统调用，是 gVisor 新一代防护模式的基础原语。本文深入剖析其内核实现机制、API 设计，并构建完整的最小化安全沙箱原型。
Linux 命名空间与 cgroup 容器隔离技术深度实战：从系统调用到容器运行时的完整实现链路
Linux命名空间(namespace)与cgroup容器隔离技术深度实战：从系统调用clone()/unshare()到容器运行时runc的完整实现链路，涵盖7种命名空间原理、cgroup v2统一层级、seccomp/capabilities/LSM安全加固、容器逃逸CVE案例分析、以及从零构建最小容器launcher的C/Go实战代码。
Linux 内核 seccomp BPF 系统调用过滤器的深度工程实战：从 cBPF 到 eBPF 的系统调用沙箱生产部署策略
深入解析 Linux seccomp BPF 系统调用过滤器的架构原理与工程实战，涵盖从基础 cBPF 指令到 libseccomp 高层 API 的完整技术栈，包括参数化控制、生产级部署检查清单与安全建模。
Linux Landlock LSM 深入实战：非特权沙盒从原理到容器安全的全面指南
从内核实现到生产落地的 Landlock 深度解析：涵盖 Landlock ABI 版本演进（v1到v5）、Access Domain 权限模型、Ruleset 与 Rules 的层次化设计、与 seccomp/binfmt_misc 的联合防御策略、在容器运行时的集成（Docker/containerd/LXC）、以及 Flatpak/Mozilla Firefox 的实际部署案例。
Linux Seccomp Notify 与用户态回调扩展安全沙箱：从容器隔离到高级系统调用虚拟化
深入解析Linux Seccomp Notify内核机制与API编程模型，涵盖系统调用虚拟化、FD交付、指针安全解引用、容器安全实战（rootless FUSE挂载、pivot_root代理），以及多线程supervisor架构与生产级实现
Linux内核seccomp安全沙箱深度实战：从BPF过滤器到容器运行时安全加固的全链路解析
深度剖析Linux seccomp安全沙箱内核机制：从BPF过滤器编程到SECCOMP_RET_USER_NOTIF用户空间通知、libseccomp实战、Kubernetes Pod Security集成、容器运行时profile定制、审计可观测性工程实践
BPF CO-RE libbpf-rs：免重编译的可移植内核追踪深度实战
深入解析BPF CO-RE核心机制（BTF、编译器重定位、libbpf运行时适配），结合libbpf-rs在Rust生态中的实践，通过execve追踪、容器逃逸检测、TCP RTT适配等生产级案例，展示如何构建一次编译到处运行的eBPF工具。
