镜像安全扫描与 SBOM：Trivy、Grype、Clair 与 CI 安全门禁
系统讲解镜像安全扫描与软件物料清单（SBOM）：漏洞扫描原理与 CVE 数据库、Trivy/Grype/Clair 三大扫描器横向对比、CycloneDX/SPDX 两种 SBOM 格式与生成校验、漏洞修复策略（基镜像升级/重建/依赖升降级）、镜像重构与最小化、CI 中的安全门禁与阈值，以及 Harbor/ECR 的持续扫描与合规报告。
tag
Docker
共 50 篇文章。
containerd 插件机制与扩展：snapshotter、shim 与 CNI 的深度定制
深入讲解 containerd 的插件机制与扩展开发：containerd 分层插件架构（核心 vs 插件）、snapshotter/diff/runtime/registry/CNI 等插件类型、shim v2 与自定义运行时接入（runsc/Wasm）、自定义 snapshotter 与懒加载（Nydus/Stargz）、CNI 网络插件集成、与 Docker/Kubernetes 的集成方式，以及 ctr/crictl 调试与生产配置。
边缘容器与轻量运行时：Wasm、gVisor 与 K3s 的资源受限实践
系统讲解边缘容器与轻量运行时：边缘设备的资源受限与离线弱网特征、轻量运行时全景（Wasm/runwasi、gVisor、Kata）、WasmEdge 容器化与性能、runsc 用户态内核的隔离边界、边缘 K3s 轻量集群、低功耗 ARM 设备的容器化与资源限制、边缘 OTA 更新与离线运行，以及弱网环境下的监控排障。
多集群多区域镜像同步与分发：从复制拓扑到 P2P 拉取加速
系统讲解多集群/多区域镜像同步与分发：镜像分发拓扑设计（Hub-Spoke/区域本地化）、Harbor 复制规则与 ECR 跨区域复制、多集群拉取策略（Registry Mirror/代理缓存）、Dragonfly 与 Nydus 的 P2P 拉取加速与懒加载、全球边缘分发、digest 一致性与 tag 漂移管理，以及复制排障与带宽观测。
镜像签名与供应链验证：Cosign/Sigstore 与准入控制深度实践
深入讲解镜像签名与供应链验证：镜像篡改与混淆攻击威胁模型、Sigstore 与 Cosign 的 keyless 签名机制（Fulcio/Rekor/OIDC）、OCI 1.1 签名与 Referrers 规范、签名验证策略、Kyverno/Connaisseur 准入控制、SBOM 与 SLSA provenance 联动，以及密钥管理、轮换与离线等生产落地问题。
GPU 容器与 AI 推理部署：NVIDIA Container Toolkit 与 MIG 深度实践
系统讲解 GPU 容器化的完整技术栈：GPU 与容器的隔离模型、NVIDIA Container Toolkit 与 nvidia-container-runtime 架构、CUDA 基础镜像选型与版本匹配、GPU 资源调度与共享（MPS/MIG）、大模型推理容器化部署（vLLM）、多 GPU 与 MIG 切分、Kubernetes 中的 GPU 调度，以及 GPU 容器的监控排障实践。
Vite 容器化与 Docker 构建：多阶段构建、层缓存与镜像优化
系统覆盖 Vite 前端项目的容器化工程实践：Docker 多阶段构建的架构（构建阶段 + 运行阶段）、依赖层缓存策略（pnpm-lock 优先/缓存挂载/分层技巧）、前端产物的静态服务镜像（nginx/静态服务器）、SPA 路由与 nginx 配置、CI 中的 Docker 构建缓存复用（BuildKit/远程缓存）、镜像体积优化与安全加固、以及多环境镜像矩阵，帮助前端团队把「npm run build + 服务器」升级为「可复用、可缓存、可审计」的容器化交付。
模型部署与 MLOps：ONNX、FastAPI、Docker 与监控
系统覆盖 ML 模型上线：ONNX 导出跨框架、FastAPI 推理服务、Docker 容器化、批处理 vs 在线推理、A/B 测试、模型版本与回滚、监控告警、MLOps 全流程。
PHP 部署运维实战：Nginx、PHP-FPM、Docker 与 CI/CD
系统覆盖 PHP 生产部署：Nginx + PHP-FPM 配置与调优、Docker 化多阶段构建、环境变量管理、CI/CD 流水线、上线灰度与回滚、监控告警与常见故障排查。
Linux 容器与隔离：namespace、cgroup 与容器运行时原理
深入 Linux 容器隔离原理：namespaces（PID/网络/挂载等）、cgroup 资源限制、chroot 到容器的演进、容器运行时（runc/containerd）、镜像与分层、手写最小容器。
Docker 容器排障与调试实战：退出码、OOM、exec 与调试工具链
Docker 容器排障与调试完整实战：定位容器为什么不起来（退出码/启动失败/依赖）、进入容器调试（exec/nsenter/调试镜像）、OOM 与资源问题、镜像拉取与构建失败、日志与事件排查、网络与端口问题，以及一套可复用的排障路径与工具链。
Docker 镜像供应链安全：SBOM、签名、扫描与 SLSA 合规
Docker 镜像供应链安全完整实践：镜像威胁模型与攻击面、漏洞扫描（Trivy/Snyk）与门禁、SBOM 生成与维护、镜像签名（Cosign/Notation）与验证、SLSA 供应链合规、多阶段与最小镜像、可信 Registry 与镜像准入。
Docker 容器监控与日志实践：cgroups 资源限制、Prometheus 与日志驱动
Docker 容器监控与日志完整实践：cgroups 资源限制（CPU/内存/IO）与 docker stats、Prometheus + cAdvisor 指标采集、日志驱动（json-file/loki/fluentd）、logrotate 与日志轮转、健康检查与重启策略、告警与容量规划。
Docker Swarm 集群编排实战：服务、滚动更新、Secrets 与负载均衡
Docker Swarm 集群编排完整实战：Swarm 模式与节点角色（Manager/Worker）、初始化与加入集群、Service 与副本、滚动更新与回滚、Secret/Config 管理、ingress 负载均衡与路由、集群高可用与故障转移，以及 Swarm vs K8s 的选型与迁移。
Docker 存储驱动与 OverlayFS 深度解析：Copy-on-Write 与镜像分层原理
深度解析 Docker 存储驱动（Storage Driver）与 OverlayFS：镜像分层如何实现、Copy-on-Write 原理、overlay2 vs vfs、容器的可写层、删除与写入的 CoW 行为、磁盘占用与镜像瘦身、常见存储驱动选型与避坑。
多平台镜像构建与 Docker Buildx：从 Amd64 到 Arm64 的跨架构交付
深度解析 Docker 多平台（Multi-arch）镜像构建：为什么需要多架构镜像、Buildx 与 QEMU 模拟、buildx 构建器与驱动、多平台构建实操、Manifest List（OCI Index）与自动拉取、交叉编译 vs 模拟、镜像瘦身与平台字段、CI 中的多平台构建与缓存，以及常见避坑。
Windows 容器与 Linux 容器：隔离模型与混合部署
系统讲解 Windows 容器与 Linux 容器的本质差异：进程隔离与 Hyper-V 隔离两种模式、基础镜像选型（Nano Server/Server Core）、LCOW 与 WSL2 的演进、跨平台镜像仓库注意事项，以及 Windows 容器的运维、排障与 Windows/Linux 混合部署实践。
容器资源限制与 cgroup 深入：CPU/内存/IO 配额与 OOM
深入 Linux cgroup v1/v2 机制，系统讲解 Docker 的 CPU（--cpus/--cpu-shares）、内存（--memory/--memory-swap）、IO（--blkio）配额原理，剖析 OOM 与 oom-score-adj、swappiness 与 page cache 的影响，并给出预留 vs 限制（requests/limits）思路与资源监控告警实践。
Docker 与 CI/CD 流水线集成：从构建到交付
完整讲解 Docker 在 CI/CD 流水线中的落地：GitHub Actions 与 GitLab CI 的镜像构建与缓存加速、layer cache 复用、镜像签名（Cosign）与漏洞扫描门禁、多环境 promotion 与 blue-green/渐进交付、Harbor/ECR 等镜像仓库管理与生命周期策略。
容器配置管理与密钥管理：env/secret/config 全体系
系统梳理容器配置与密钥管理：环境变量的局限与正确用法、Docker Secrets（Swarm）与 configs 文件注入、docker-compose secrets 语法、与 HashiCorp Vault/云厂商 Secret Manager 的集成，以及密钥轮换、审计与生产落地的最佳实践。