Seccomp-BPF 与 Capabilities：容器安全的两道防线
你的容器能调用 reboot()。是的，现在就能。除非有人拦住它。Capabilities 拆分 root 权限，Seccomp-BPF 过滤系统调用——两道防线，缺一不可。本文用 C 代码拆解这两套机制，看看 Docker 到底替你挡住了什么。
docker 标签归档
共 2 篇文章 · 返回首页
OverlayFS：一层一层像洋葱
Docker 镜像为什么能分层？pull 一个 100MB 的镜像为什么只下载 3MB？答案是 OverlayFS 的 copy-on-write。本文手工构建分层镜像，实测 COW 的性能代价。