Docker

DinD/DooD 与临时 CI Runner

在流水线里构建镜像有 DinD、DooD 与无守护进程构建器三条路。本篇讲清 docker:dind 的 privileged 与 TLS 配置、storage driver 在嵌套场景下的坑、挂载 docker.sock 的风险边界，给出 GitLab Runner docker executor 与临时 runner 的落地配置、层缓存复用策略与安全加固清单。

2026-10-077 分钟阅读

Docker CI/CD 安全

本地开发运行时：OrbStack 与 Colima

macOS 上没有原生容器，必须在轻量虚拟机里跑 Docker。本篇对比 Docker Desktop、Colima 与 OrbStack 三条路线的架构差异，给出 Colima 的 profile 与虚拟机参数配置、OrbStack 的文件共享与内置 K8s 能力、两者的启动速度与挂载性能差异，以及 docker context 切换、团队统一与回退的实践。

2026-10-078 分钟阅读

日志驱动与采集管道

系统梳理 Docker 日志的两条路径：日志驱动直发与落盘后采集。逐个对比 json-file、local、journald、fluentd 等驱动的适用场景与配置参数，剖析 max-size/max-file 轮转、非阻塞模式与背压丢日志的机制，并给出采集管道、多行日志处理与容器日志排障的完整实践。

2026-10-077 分钟阅读

Docker 日志可观测性

Buildx Bake 与多目标构建编排

讲解 docker buildx bake 如何用一个声明式文件替代一长串 docker buildx build 命令：HCL/JSON/Compose 三种文件格式与解析优先级、targets/groups/inherits/matrix 语法、变量与上下文注入、多平台与缓存导出配置，以及在 CI 中按需构建、按目标复用的工程实践与调试技巧。

2026-10-076 分钟阅读

Docker CI

Podman 与 Docker 迁移对比

从 daemon 与 daemonless 的架构差异出发，对比 Docker 与 Podman 的进程模型、rootless 默认行为、命令行兼容层、Compose 与 systemd/Quadlet 集成、镜像与 registry 互通性，并给出可回退的迁移路径、常见坑位清单与混合共存策略，帮助团队判断该不该迁、怎么迁、迁完如何验证。

2026-10-079 分钟阅读

Docker 安全迁移

容器 CPU 调度与 NUMA：绑核、实时性与 QoS 保障

从 Linux CFS 调度器与 cgroup v1/v2 CPU 控制器出发，讲解 Docker 的 --cpus、--cpuset-cpus、--cpuset-mems 参数语义与换算，剖析 CPU 节流根因与排查，深入 SCHED_FIFO 实时策略与 RT 带宽，结合 NUMA 拓扑讲解绑核与绑内存节点的远端访问代价，并给出 K8s CPU Manager 对比与生产清单。

2026-10-0310 分钟阅读

Docker 性能优化

Docker Daemon 运维：systemd 集成、配置调优与日志治理

围绕 dockerd 进程模型与 docker.service 单元，拆解 Type=notify、Delegate、KillMode、LimitNOFILE 与 TasksMax 语义，讲 docker.socket 按需激活、daemon.json 常用项与校验、drop-in 覆盖与配置优先级、热重载边界，覆盖日志驱动选型与膨胀治理、journald 排障、内核参数、存储 GC 与安全加固。

2026-10-0312 分钟阅读

OCI 镜像与工件规范：manifest、index 与 artifact 生态

系统剖析 OCI Image Spec 与 Artifacts 规范：manifest、config、layers 三大组件与 media type、image index 与多架构、artifactType 与 referrers API，把 Helm chart、SBOM、签名作为 OCI 工件推送，并覆盖 OCI layout 与 registry 兼容性差异。

2026-10-039 分钟阅读

构建缓存进阶：Buildx 远程缓存、CI 加速与缓存失效

从 BuildKit 内容寻址的缓存模型出发，讲解 cache key 与指令摘要生成规则、cache 挂载持久化依赖目录，深入 cache-from 与 cache-to 的 registry、local、gha 后端写法与参数，剖析 CI 多 job 缓存复用与缓存失效根因（COPY 顺序、apt 元数据、时间戳、ARG 变更），并给出 buildx du 清理与命中率诊断。

2026-10-039 分钟阅读

Docker CI/CD 性能优化

健康检查与自愈：healthcheck、重启策略与依赖编排

从 HEALTHCHECK 的四个时间参数讲到 Compose 的 healthcheck 覆盖、starting/healthy/unhealthy 状态机、四种 restart policy 与退出码语义，再到崩溃循环的指数退避、depends_on 的 service_healthy 依赖编排，以及 compose、Swarm、systemd 三层自愈映射，附生产清单与踩坑表。

2026-10-0315 分钟阅读

数据库容器化实战：Postgres、MySQL 与 Redis 的持久化与备份

从数据目录与 VOLUME 语义出发，讲解 Postgres、MySQL、Redis 的容器化持久化方案：PGDATA 权限与初始化脚本、mysql_native_password 认证坑、Redis AOF 与 RDB 双持久化，以及命名卷选型、pg_dump/pg_basebackup/mysqldump 备份恢复、WAL 与 fsync 语义、共享内存与存储驱动性能陷阱。

2026-10-0311 分钟阅读

Docker 数据库

镜像安全扫描与 SBOM：Trivy、Grype、Clair 与 CI 安全门禁

系统讲解镜像安全扫描与软件物料清单（SBOM）：漏洞扫描原理与 CVE 数据库、Trivy/Grype/Clair 三大扫描器横向对比、CycloneDX/SPDX 两种 SBOM 格式与生成校验、漏洞修复策略（基镜像升级/重建/依赖升降级）、镜像重构与最小化、CI 中的安全门禁与阈值，以及 Harbor/ECR 的持续扫描与合规报告。

containerd 插件机制与扩展：snapshotter、shim 与 CNI 的深度定制

深入讲解 containerd 的插件机制与扩展开发：containerd 分层插件架构（核心 vs 插件）、snapshotter/diff/runtime/registry/CNI 等插件类型、shim v2 与自定义运行时接入（runsc/Wasm）、自定义 snapshotter 与懒加载（Nydus/Stargz）、CNI 网络插件集成、与 Docker/Kubernetes 的集成方式，以及 ctr/crictl 调试与生产配置。

边缘容器与轻量运行时：Wasm、gVisor 与 K3s 的资源受限实践

系统讲解边缘容器与轻量运行时：边缘设备的资源受限与离线弱网特征、轻量运行时全景（Wasm/runwasi、gVisor、Kata）、WasmEdge 容器化与性能、runsc 用户态内核的隔离边界、边缘 K3s 轻量集群、低功耗 ARM 设备的容器化与资源限制、边缘 OTA 更新与离线运行，以及弱网环境下的监控排障。

Docker WebAssembly

多集群多区域镜像同步与分发：从复制拓扑到 P2P 拉取加速

系统讲解多集群/多区域镜像同步与分发：镜像分发拓扑设计（Hub-Spoke/区域本地化）、Harbor 复制规则与 ECR 跨区域复制、多集群拉取策略（Registry Mirror/代理缓存）、Dragonfly 与 Nydus 的 P2P 拉取加速与懒加载、全球边缘分发、digest 一致性与 tag 漂移管理，以及复制排障与带宽观测。

镜像签名与供应链验证：Cosign/Sigstore 与准入控制深度实践

深入讲解镜像签名与供应链验证：镜像篡改与混淆攻击威胁模型、Sigstore 与 Cosign 的 keyless 签名机制（Fulcio/Rekor/OIDC）、OCI 1.1 签名与 Referrers 规范、签名验证策略、Kyverno/Connaisseur 准入控制、SBOM 与 SLSA provenance 联动，以及密钥管理、轮换与离线等生产落地问题。