Linux内核 eBPF Token：从 BPF LSM 到细粒度容器权限降解的工程实践
深入解析Linux 6.9引入的BPF Token机制如何将eBPF权限从CAP_BPF中剥离，实现命令和类型粒度的容器BPF权限委托。涵盖内核实现、生产级安全架构设计、三大工程陷阱及性能基准测试。
容器安全
Linux 内核 seccomp BPF 系统调用过滤器的深度工程实战：从 cBPF 到 eBPF 的系统调用沙箱生产部署策略
深入解析 Linux seccomp BPF 系统调用过滤器的架构原理与工程实战，涵盖从基础 cBPF 指令到 libseccomp 高层 API 的完整技术栈，包括参数化控制、生产级部署检查清单与安全建模。
Linux 容器隔离机制深度剖析：Namespace、Cgroup 与 Capabilities 的五层防御
深入解析 Linux 容器隔离的实现原理：从8种Namespace的内核实现机制、cgroup v2资源限额模型、Capabilities权限拆分逻辑、Seccomp-BPF系统调用过滤，到容器逃逸向量与防御策略，含gVisor与Kata安全容器方案分析
eBPF 革命：Linux 内核可编程性深度实战——从 XDP 高性能网络观测到安全策略的原子化执行
深入解析 eBPF 技术架构：内核虚拟机原理、XDP 纳秒级包处理、SYN Flood 防护实战代码、Kprobe 系统调用追踪、Falco/Tetragon 容器安全工具、CO-RE 跨版本兼容方案、生产环境性能调优最佳实践。涵盖从驱动层到应用层的完整技术栈。
eBPF 容器运行时安全：从 Falco 到 Tetragon，构建零侵入的威胁检测体系
深入 eBPF 容器安全机制（kprobe/tracepoint/LSM hook），对比 Falco 检测与 Tetragon 检测+阻断架构差异，完整实现最小化容器运行时安全监控器
Landlock LSM：Linux 非特权沙箱从原理到深度工程实践
深入剖析 Landlock LSM 的内核实现机制：从 LSM 钩子注入、BPF 规则匹配到文件层级树，提供 C/Rust 完整工程实践，涵盖容器集成、性能基准测试及与 seccomp/AppArmor 的纵深防御组合。
深入理解 Linux Namespace：容器隔离的底层基石——从三大系统调用到 8 类 Namespace 与安全逃逸防护的完整实战
从 Linux 内核源码级别剖析 8 类 Namespace（UTS/PID/Mount/Network/IPC/User/Cgroup/Time），系统讲解 clone()、unshare()、setns() 三大系统调用的工作原理，完整还原 Docker/containerd 构建隔离环境的全过程，深入分析容器逃逸向量与纵深防御策略。
Kata Containers 与 TDX 机密计算实战：从轻量虚拟机到硬件可信执行环境的云原生隔离范式
深入剖析 Kata Containers 与 Intel TDX 机密计算的融合架构，从远程证明到生产级部署，提供完整的容器硬件加密隔离实战指南。涵盖性能剖析、密钥注入、网络策略配置、SEV-SNP 对比选型等内容。
基于 eBPF 构建 AI 推理平台零信任安全引擎：从内核可观测到实时策略执行
本文展示如何用 eBPF + LSM 构建内核级零信任安全引擎，实现进程行为监控、文件系统实时防护和网络层微隔离的三位一体防御体系
Linux seccomp-bpf 沙箱：从 BPF 过滤器到容器安全实战
深入解析 Linux seccomp-bpf 沙箱机制——从 BPF 虚拟机原理、手写过滤器到 libseccomp、Docker 默认 Profile、Kubernetes Pod Security 部署，完整覆盖容器安全纵深防御体系。
