namespace

1. 首页
2. namespace

Linux Namespaces 深度实战：容器隔离的底层基石——从 8 种命名空间类型到 Docker/containerd 生产级隔离策略

Linux Namespaces 深度实战：全面解析 Mount/UTS/IPC/PID/Network/User/Cgroup/Time 8 种命名空间类型，手动构建容器示例代码，Docker/containerd Namespace 策略对比，性能开销测试，容器逃逸攻击与防御矩阵。与 cgroups v2、seccomp 构成容器安全三件套。

K8s核心 2026年09月19日 0 点赞 0 评论 59 浏览

Linux系统调用深度剖析：从用户态到内核态的完整旅程

Linux系统调用全方位解析：从int 0x80到syscall硬件加速，从VDSO零陷入到io_uring零系统调用批量操作，从ptrace监控到eBPF无侵入追踪，从Namespace隔离到Landlock非特权沙箱

Linux内核 2026年09月28日 0 点赞 0 评论 78 浏览

从零用 Rust 实现一个最小容器运行时：深入 Namespace、cgroups 与 Seccomp 核心机制

容器不是轻量级虚拟机，而是被 Linux namespace 隔离、cgroup 限制、seccomp 约束的普通进程。本文从零用 Rust 编写一个最小容器运行时，亲手触摸 namespace、cgroups、pivot_root 与 seccomp 核心系统调用，涵盖 PID namespace 的用户视角切换、pivot_root 替代 chroot 的安全原因、cgroups v2 资源限额编程、seccomp BPF 系统调用过滤、user namespace 映射配置，最后组装完整 runtime 并探讨 OCI 运行时规范的进阶方向。

K8s核心 2026年09月29日 0 点赞 0 评论 55 浏览

告别 root：Linux BPF Token 与 Namespace 实现非特权 BPF 的工程深度实践

深入解析 Linux 6.9 引入的 BPF Token 与 BPF Namespace 核心机制：从权限模型历史困境到委托式能力代理、从 namespace 隔离到完整的 libbpf-rs 代码实战，以及生产环境部署策略与纵深防御体系。

eBPF技术 2026年09月30日 0 点赞 0 评论 48 浏览

Linux Namespace 子系统深度实战：容器隔离的内核基石

从源码级视角剖析 Linux Namespace 子系统：核心数据结构 nsproxy、8 种 Namespace 类型（mnt/pid/net/uts/ipc/user/cgroup/time）、clone/setns/unshare 的执行路径，以及用 C 从零实战构建 mini-container 的完整过程。

容器与K8s 2026年10月01日 0 点赞 0 评论 59 浏览

Linux 容器隔离机制深度剖析：Namespace、Cgroup 与 Capabilities 的五层防御

深入解析 Linux 容器隔离的实现原理：从8种Namespace的内核实现机制、cgroup v2资源限额模型、Capabilities权限拆分逻辑、Seccomp-BPF系统调用过滤，到容器逃逸向量与防御策略，含gVisor与Kata安全容器方案分析

K8s核心 2026年10月01日 0 点赞 0 评论 59 浏览

Linux 命名空间与 cgroup 容器隔离技术深度实战：从系统调用到容器运行时的完整实现链路

Linux命名空间(namespace)与cgroup容器隔离技术深度实战：从系统调用clone()/unshare()到容器运行时runc的完整实现链路，涵盖7种命名空间原理、cgroup v2统一层级、seccomp/capabilities/LSM安全加固、容器逃逸CVE案例分析、以及从零构建最小容器launcher的C/Go实战代码。

容器与K8s 2026年10月03日 0 点赞 0 评论 45 浏览

Linux cgroup v2 深度剖析：云原生时代的资源隔离核心机制

从架构演进到生产落地，全面解析 cgroup v2 的统一层级树设计、CPU/内存/I/O/PID 多维资源控制器、PSI 压力阻塞信息可观测性、eBPF 深度集成机制，以及在 Kubernetes、systemd、容器编排系统中的实战策略与最佳实践。

容器与K8s 2026年10月04日 0 点赞 0 评论 53 浏览

Linux内核Namespace与Cgroups深度实战：容器隔离机制的实现原理与性能调优

深入剖析Linux内核Namespace与Cgroups两大容器核心技术，从内核实现原理到容器运行时演进，涵盖PID/Network/Mount等Namespace类型、Cgroups v1/v2架构对比、资源限制实战、容器安全加固与内存性能调优。

进程调度 2026年10月07日 0 点赞 0 评论 47 浏览

Linux 内核 close_range 系统调用：跨 exec 文件描述符安全隔离的工程实战

本文深入解析 Linux 6.5 引入的 close_range() 系统调用，从工程实践角度剖析跨 exec 文件描述符泄漏的安全盲区、传统方案局限、内核实现原理，以及真实世界中的容器安全和零信任架构应用。

文件系统 2026年10月07日 0 点赞 0 评论 38 浏览