gvisor

什么是 gVisor？ gVisor 在运行中的应用程序与宿主操作系统之间提供了一层强大的隔离。它是一个实现了类 Linux 接口的应用内核。与 Linux 不同，它使用内存安全语言（Go）编写，并运行在用户空间。 gVisor 包含一个名为 runsc 的开放容器倡议（OCI）运行时，使其能够轻松与现有的容器工具配合使用。runsc 运行时与 Docker 和 Kubernetes 集成，使得运行沙箱容器变得简单。 gVisor 不是 什么？ gVisor 不是系统调用过滤器 （例如 seccomp-bpf），也不是对 Linux 隔离原语（例如 firejail、AppArmor...