容器安全

一、现象与背景 【问题本质】 基础镜像（如 eclipse-temurin:17-jre）紧急更新后，依赖该镜像的微服务需重新验证安全合规性。但现有CI流程要求「全量Trivy扫描+无CRITICAL方可发布」，导致： - 重复构建耗时（如

【背景】 我负责一套 K8s 1.28（containerd 1.7、kernel 5.15）上约 50 个微服务的安全加固。安全基线里有一条硬要求：业务容器必须「非 root 运行 + 只读根文件系统（readOnlyRootFilesy

【背景】 我在给一套 K8s（1.29，containerd 1.7.x，节点 kernel 5.15）里的多语言服务做安全加固，目标之一是给所有业务容器叠加 seccomp 默认 profile，收窄系统调用面。我习惯从现象倒推根因，所以

背景 我在给一套工业数据网关做容器化。网关里有个高吞吐转发进程（C++，自研 epoll 内核），我们想升级到 io_uring 走异步 IO，目标是单核从 ~24k QPS 提到 60k+。同一个二进制在裸机（节点内核 5.15.0-91

【背景】 我在给一套 K8s（1.28.9，containerd 1.7.x）里的 Java 8 业务镜像做安全加固，目标是"零业务代码改动 + 非 root 运行 + 只读根文件系统"。securityContext 配了 runAsNo