「拆开 Docker 才看清：容器根本不是虚拟机」在 Linux 内核眼里，容器只是套了多层限制的普通进程。它没有专属开关，全靠 Namespaces 隔离视图、cgroups 限制资源与分层 rootfs 拼装。最耐人寻味的工程细节是，Go 原生多线程调度会干扰特定 namespace 的系统调用，runc 必须赶在 Go 运行时启动前借 C ...
