Linux内核BPF LSM深度实战：可编程安全策略与零停机安全加固
深度解析Linux内核BPF LSM（Linux Security Module with eBPF）：从LSM Hook架构、Verifier对LSM程序的特化规则，到文件访问控制、权限防护、网络隔离、容器逃逸检测五个完整实战案例，含libbpf和Rust Aya代码实现及性能数据对比
LSM
Linux eBPF 深度工程实战：从虚拟机内核到 XDP/LSM 全栈可编程架构
深入eBPF完整技术栈：虚拟机指令集与验证器架构、BPF类型格式(BTF)、多种映射数据结构、XDP/TC网络数据通路、LSM安全钩子、CO-RE可移植方案，以及libbpf现代工具链
Apache Paimon 流式数据湖深度实战：从主键表 LSM 结构、Changelog 生成与 Merge Engine 到 Bucket 分桶与 Lookup Join 的工程全解
深入解析 Apache Paimon 如何把 LSM-Tree 写入模型搬到对象存储：主键表 bucket 分片、deduplicate/partial-update/aggregation 三种 Merge Engine、sequence field 乱序治理、四种 changelog-producer 取舍、minor/full compaction 与 write-only 读写分离、动态分桶与跨分区 Upsert、Lookup Join 维表缓存调优，以及 snapshot 过期与生产避坑清单。
Linux Landlock LSM 深入实战：非特权沙盒从原理到容器安全的全面指南
从内核实现到生产落地的 Landlock 深度解析：涵盖 Landlock ABI 版本演进（v1到v5）、Access Domain 权限模型、Ruleset 与 Rules 的层次化设计、与 seccomp/binfmt_misc 的联合防御策略、在容器运行时的集成（Docker/containerd/LXC）、以及 Flatpak/Mozilla Firefox 的实际部署案例。
Apache HBase 读写路径深度工程实战：从 WAL 与 MemStore 跳表、HFile 块格式与布隆过滤、BlockCache 分层到 Region 分裂与 Compaction 策略的全链路解析
拆解 HBase 读写全链路：WAL 追加与 MVCC read point、MemStore 跳表与 MSLAB Chunk 池化对抗 GC、HFile 块布局与 Bloom+索引+块内二分的三级跳过、KeyValueHeap k 路归并读路径、L1/L2 分层 BlockCache、Region 分裂的延迟物化引用文件，以及 Compaction 文件选择策略与生产故障排查清单。
Linux Kernel LSM Hook 架构深度实战：为 AI Agent 构建自定义沙箱安全模块
深入剖析 Linux LSM Hook 架构的底层机制，通过完整实战案例展示如何从零编写自定义内核安全模块，为 AI Agent 构建细粒度运行时沙箱。涵盖静态键优化、RCU 化查找、socket 连接控制、文件路径约束等核心工程实践。
从零构建生产级时序数据库：Rust 实战——从 Gorilla 压缩到连续查询的 IoT/MLOps 存储引擎
深入剖析时序数据库核心工程：用 Rust 从零构建 TsdbLite，涵盖 Gorilla 浮点压缩、Delta-of-Delta 时间戳编码、时间分区 LSM 树、Roaring Bitmap 倒排索引、连续聚合查询引擎与 io_uring 异步写入，附 3000 字深度代码实战与性能基准对比。
fanotify + eBPF 融合: 构建 Linux 内核级零信任文件安全监控架构深度实战
深入探讨如何将 Linux 内核的 fanotify 文件事件通知机制与 eBPF LSM 钩子相融合，构建内核级零信任文件安全防护体系。涵盖 eBPF LSM 高速决策路径、用户态策略引擎设计、生产级部署实战、性能调优和真实勒索软件拦截案例。
Linux 容器隔离机制深度剖析：Namespace、Cgroup 与 Capabilities 的五层防御
深入解析 Linux 容器隔离的实现原理：从8种Namespace的内核实现机制、cgroup v2资源限额模型、Capabilities权限拆分逻辑、Seccomp-BPF系统调用过滤，到容器逃逸向量与防御策略，含gVisor与Kata安全容器方案分析
Linux内核Landlock安全模块深度实战：构建无根容器沙箱
深入解析 Linux 内核 Landlock 安全模块：从无根自主降级设计理念、ABI V1到V4演进、C语言API完整实战，到Python ctypes封装、容器运行时集成（bubblewrap/systemd）、Seccomp协同防御体系构建，覆盖生产环境全链路安全加固。
