SYSCALL_USER_DISPATCH：从内核原语到 gVisor 风格轻量级沙箱
Linux 5.11 引入的 SYSCALL_USER_DISPATCH 机制允许用户态程序拦截系统调用，是 gVisor 新一代防护模式的基础原语。本文深入剖析其内核实现机制、API 设计，并构建完整的最小化安全沙箱原型。
容器安全
Linux Landlock LSM 深入实战：非特权沙盒从原理到容器安全的全面指南
从内核实现到生产落地的 Landlock 深度解析：涵盖 Landlock ABI 版本演进（v1到v5）、Access Domain 权限模型、Ruleset 与 Rules 的层次化设计、与 seccomp/binfmt_misc 的联合防御策略、在容器运行时的集成（Docker/containerd/LXC）、以及 Flatpak/Mozilla Firefox 的实际部署案例。
Linux 命名空间与 cgroup 容器隔离技术深度实战：从系统调用到容器运行时的完整实现链路
Linux命名空间(namespace)与cgroup容器隔离技术深度实战：从系统调用clone()/unshare()到容器运行时runc的完整实现链路，涵盖7种命名空间原理、cgroup v2统一层级、seccomp/capabilities/LSM安全加固、容器逃逸CVE案例分析、以及从零构建最小容器launcher的C/Go实战代码。
容器运行时深度实战：从 containerd 架构核心、OCI 运行时规范到 Rootless 容器与 gVisor/Kata 安全沙箱的完全工程指南
容器运行时深度实战完全指南：从containerd架构核心、OCI规范三件套、OCI运行时选型、CRI接口层、Rootless容器、安全纵深防御、CNI网络、镜像优化、可观测性到生产级部署与未来趋势
eBPF 运行时容器安全与可观测性实战：从 Syscall 追踪到零侵入威胁检测
在云原生时代，容器的短生命周期和共享内核模型让传统安全工具捉襟见肘。本文深入剖析 eBPF 在容器安全领域的核心原理和工程实战，涵盖系统调用监控、容器逃逸检测、内核漏洞利用检测、加密挖矿识别等场景。
Linux Seccomp Notify 深度解析：用户态系统调用代理与容器安全工程实战
深入解析 Linux Seccomp Notify (SECCOMP_RET_USER_NOTIF) 机制的完整架构与工程实践，涵盖内核实现、libseccomp API、Rust异步代理、runc集成、ADDFD注入、与LSM/BPF的对比等深度内容。包含完整的C语言最小代理示例和Rust异步处理框架代码。
Linux内核 close_range 与文件描述符生命周期安全工程实战
深入分析 Linux 内核 close_range 系统调用的原理与实战应用，解决 fd 生命周期管理中的 TOCTOU 竞态与容器逃逸安全漏洞，构建生产级零 fd 泄露服务框架。
Linux容器逃逸与纵深防御：从Namespace泄露到Seccomp/SELinux/AppArmor安全加固全链路
全面解析Linux容器逃逸的六大攻击路径及对应的纵深防御策略，涵盖Namespace隔离机制、Capabilities权限控制、Seccomp系统调用过滤、LSM（SELinux/AppArmor）强制访问控制，以及生产级容器安全加固checklist和CVE案例分析。
Linux Seccomp SECCOMP_RET_USER_NOTIF 深度实战：容器运行时与 AI Agent 沙箱的系统调用外部监控
深度解析 Linux seccomp SECCOMP_RET_USER_NOTIF 内核机制，从 BPF verifier 限制到用户空间 supervisor 架构，用 Rust 构建完整的 syscall 外部监控实战。覆盖 CONTINUE、ADDFD 高级特性，与 ptrace/Landlock 对比，附性能基准测试。
软件供应链安全实战：从SolarWinds到XZ后门，构建可信的CI/CD流水线
深入解析软件供应链安全的攻击类型与防御框架，涵盖SLSA成熟度模型、Sigstore无密钥签名、以及构建可信CI/CD流水线的完整工程实践。
