字卡 / 翻卡
點一下卡片翻面。正面是術語,背面是意思。
Namespace
隔離行程「看得到什麼」(PID/網路/掛載/UTS)。
Cgroup
限制行程「能用多少」(CPU/記憶體/I/O/PIDs)。
Seccomp-BPF
過濾行程能做哪些 syscall —— 在執行前。
Timeout
限制任務「能跑多久」;砍掉失控的。
沙盒執行層
不可信程式碼真正執行的安全核心。
任務管理器
派送任務到節點、監控、回傳結果。
資料庫的角色
存 Job、Results、Logs —— 共享的真實來源。
OOM Killer
記憶體耗盡時終止行程;cgroup memory.max 可觸發它。
TOCTOU
檢查到使用的競態;seccomp-BPF 不解指標而避開。
縱深防禦
四道獨立的牆 —— 攻擊者得全部攻破。
English version