很多人对容器的安全有个朴素又危险的假定："装了 Docker、容器有隔离，就安全了。"实际上，容器与宿主共享内核，隔离是"相对但不绝对"的——默认配置下容器往往以 root 用户运行、带一堆默认权限、其镜像可能藏着一层又一层过时的依赖，一旦被攻破可能殃及宿主机...