容器安全

【背景】 我负责一套 K8s 1.28（containerd 1.7、kernel 5.15）上约 50 个微服务的安全加固。安全基线里有一条硬要求：业务容器必须「非 root 运行 + 只读根文件系统（readOnlyRootFilesy

【背景】 我在给一套 K8s（1.29，containerd 1.7.x，节点 kernel 5.15）里的多语言服务做安全加固，目标之一是给所有业务容器叠加 seccomp 默认 profile，收窄系统调用面。我习惯从现象倒推根因，所以

背景 我在给一套工业数据网关做容器化。网关里有个高吞吐转发进程（C++，自研 epoll 内核），我们想升级到 io_uring 走异步 IO，目标是单核从 ~24k QPS 提到 60k+。同一个二进制在裸机（节点内核 5.15.0-91

【背景】 我在给一套 K8s（1.28.9，containerd 1.7.x）里的 Java 8 业务镜像做安全加固，目标是"零业务代码改动 + 非 root 运行 + 只读根文件系统"。securityContext 配了 runAsNo