seccomp-BPF 与容器安全沙箱：从系统调用过滤到动态策略全链路实战
深度解析 Linux seccomp-BPF 内核实现机制、libseccomp 策略编写 API、Docker 默认配置文件分析、Kubernetes pod 级别配置、Seccomp Notify 动态沙箱、eBPF 审计与常见绕过向量防御。覆盖从系统调用拦截原理到生产环境最佳实践的完整链路。
Linux kernel
AI 推理服务的 Huge Pages 工程实战——从 THP 陷阱到 PMD 大页调优与 KSM 协同
深入剖析 Linux Transparent Huge Pages 在 AI 推理服务中的尾延迟陷阱，从 TLB Miss 根源出发，详解 khugepaged 工作机制、四种 defrag 策略、GPU 显存映射冲突，并提供静态 hugetlbfs + madvise 精准标记的生产级调优方案。含 BPF 追踪脚本与决策树。
深入剖析 Linux SCHED_DEADLINE：CBS 算法与硬实时调度实战
深入解析 Linux SCHED_DEADLINE 内核实现，基于 CBS 算法的硬实时调度机制，涵盖 EDF 理论、内核数据结构 sched_dl_entity 红黑树实现、准入控制、编程接口与生产环境部署实战
从零用 Rust 实现一个最小容器运行时：深入 Namespace、cgroups 与 Seccomp 核心机制
容器不是轻量级虚拟机，而是被 Linux namespace 隔离、cgroup 限制、seccomp 约束的普通进程。本文从零用 Rust 编写一个最小容器运行时，亲手触摸 namespace、cgroups、pivot_root 与 seccomp 核心系统调用，涵盖 PID namespace 的用户视角切换、pivot_root 替代 chroot 的安全原因、cgroups v2 资源限额编程、seccomp BPF 系统调用过滤、user namespace 映射配置，最后组装完整 runtime 并探讨 OCI 运行时规范的进阶方向。
Linux 内核 Core Scheduling 深度实战：SMT 侧信道防御与安全隔离工程
Linux 5.14 引入的 Core Scheduling 机制如何通过 cookie 信任模型防御 SMT 侧信道攻击（L1TF/MDS/TAA），实现多租户容器安全隔离的深度工程实战指南。
Linux 内核 Core Scheduling 深度实战：SMT 侧信道防御与安全隔离工程
Linux 5.14 引入的 Core Scheduling 机制如何通过 cookie 信任模型防御 SMT 侧信道攻击，实现多租户容器安全隔离的深度工程实战指南。
Linux Kernel Scheduler：CFS vruntime 红黑树到 EEVDF deadline 算法的生产级实战
深入 Linux 内核调度器核心机制：从 CFS 的 vruntime 红黑树实现到 EEVDF 的 deadline driven 公平调度，结合生产级 perf、ftrace、BPF 工具实战，覆盖调度策略选择、cgroup v2 cpu.max、NUMA 感知、调度延迟诊断全流程。
Linux Kernel memcg 资源控制器生产级调优深度实战
Linux 内核 Memory Resource Controller (memcg) 完整工程实践：从 cgroup v2 统一模型的四层约束（min/low/high/max）、计费模型、OOM 处理，到 Kubernetes/containerd 集成与生产调优策略。含 memory.events 监控、PSI 压力指标、实战故障排查。
Linux内核BPF LSM深度实战：动态可编程安全策略的工程落地
深入解析 Linux 内核 BPF LSM 机制：如何用 eBPF 实现动态可编程安全策略。从}LSM钩子架构、27个可拦截点、完整代码实战，到容器网络微分段、生产部署最佳实践，以及 Tetragon/Falco 等前沿项目应用。
XDP 高性能网络数据包处理：从内核旁路到生产级 DDoS 防御实战
深入解析 Linux XDP（eXpress Data Path）技术——在网卡驱动层通过 eBPF 程序实现线速数据包处理，涵盖架构原理、四种返回码机制、DDoS 防御实战、性能调优要点及与 DPDK 的技术对比。
