eBPF 运行时容器安全与可观测性实战：从 Syscall 追踪到零侵入威胁检测
在云原生时代，容器的短生命周期和共享内核模型让传统安全工具捉襟见肘。本文深入剖析 eBPF 在容器安全领域的核心原理和工程实战，涵盖系统调用监控、容器逃逸检测、内核漏洞利用检测、加密挖矿识别等场景。
系统调用
SYSCALL_USER_DISPATCH：从内核原语到 gVisor 风格轻量级沙箱
Linux 5.11 引入的 SYSCALL_USER_DISPATCH 机制允许用户态程序拦截系统调用，是 gVisor 新一代防护模式的基础原语。本文深入剖析其内核实现机制、API 设计，并构建完整的最小化安全沙箱原型。
Linux 内核 close_range 系统调用：跨 exec 文件描述符安全隔离的工程实战
本文深入解析 Linux 6.5 引入的 close_range() 系统调用，从工程实践角度剖析跨 exec 文件描述符泄漏的安全盲区、传统方案局限、内核实现原理，以及真实世界中的容器安全和零信任架构应用。
Linux 内存管理系统调用与内核API深度实战：从用户态分配到内核页表管理
从mmap、brk、mprotect、mlock、madvise等核心系统调用出发，深入Linux内核内存管理机制，涵盖VMA分配、缺页中断、SLUB分配器、大页内存、NUMA感知、OOM调优等生产环境实战内容。
Linux内核Syscall User Dispatch深度实战：用户态系统调用拦截与控制
深入解析Linux 5.11引入的Syscall User Dispatch机制，从内核实现到Wine/gVisor实战应用，全面掌握用户态系统调用拦截技术
eBPF 系统调用追踪：从原理到生产级实战的完全指南
深入理解 eBPF 在系统调用追踪中的应用，从事件类型、挂载方式到完整生产级实战案例，涵盖 tracepoint/kprobe/uprobe、BPF Map 数据输出、用户态过滤与聚合、容器/PID 命名空间追踪，以及与 strace/perf 的对比决策
深入理解 Linux 系统调用：从用户态到内核态
深入解析 Linux 系统调用的完整机制，包括特权级别切换、syscall指令、关键系统调用剖析（fork、mmap、epoll）、性能分析及strace工具使用
BPF_PROG_LOAD 系统调用深度剖析——从用户态到内核的指令流转之旅
深度解析BPF_PROG_LOAD系统调用的完整链路：从libbpf用户态API到内核bpf()系统调用入口、许可证验证、指令修复、JIT编译、程序附加、BTF/CO-RE机制到BPF Token权限模型，完整覆盖BPF程序加载的全生命周期。
Linux I/O 多路复用深度实战：epoll 内核实现与百万并发架构
从内核源码逐行解析 epoll 的高性能本质，构建能够承载百万并发连接的 TCP 服务器。涵盖 epoll_create/epoll_ctl/epoll_wait、LT与ET触发模式、多线程 Reactor 架构、性能调优内核参数、EPOLLONESHOT与EPOLLEXCLUSIVE惊群解决、signalfd/eventfd/timerfd集成、epoll 与 io_uring 混合架构等深度内容。
Linux 系统调用执行路径深度剖析：从用户态 syscall 指令到内核分发全链路
从硬件机制出发，深入剖析 x86_64 和 ARM64 架构下系统调用的完整执行链路，涵盖 vdso 加速、seccomp 过滤、audit 审计、虚拟系统调用机制，以及生产环境中的性能观测与优化策略。
