容器通过操作系统级虚拟化（OS-level virtualization），直接复用宿主机的 Linux 内核，无需像传统虚拟机（VM）那样为每个实例运行独立的 Guest OS
容器通过操作系统级虚拟化（OS-level virtualization），直接复用宿主机的 Linux 内核，无需像传统虚拟机（VM）那样为每个实例运行独立的 Guest OS（如完整版 Linux/Windows）。因此，容器具有以下关键特点：
✅ 轻量：无 Guest OS 开销，镜像通常仅含应用及其依赖（几 MB 到几百 MB），而非整个操作系统（GB 级）；
✅ 启动极快：秒级甚至毫秒级启动，因为不涉及内核加载和系统初始化；
✅ 高密度部署：单台宿主机可运行数百甚至上千个容器；
⚠️ 注意：容器必须与宿主机内核兼容（例如 Linux 容器无法直接在 Windows 内核上原生运行，需借助 WSL2 或 Hyper-V 辅助）。
# 示例：快速启动一个轻量 Nginx 容器（无需安装 OS，几秒内就绪）dockerrun-d-p8080:80--namemy-nginx nginx:alpine容器与虚拟机在安全隔离性方面的本质区别源于其隔离层级不同：
🔹虚拟机（VM）：
- 采用硬件辅助虚拟化（如 Intel VT-x / AMD-V），通过 Hypervisor（如 KVM、Hyper-V、VMware ESXi）在硬件层之上构建完整虚拟化环境；
- 每个 VM 运行独立的 Guest OS 内核，拥有专属的虚拟 CPU、内存、设备和内核空间；
- 隔离粒度为操作系统级，Guest OS 与宿主机内核完全解耦 → 即使 Guest 内核被攻破，通常无法直接突破 Hypervisor 访问宿主机或其他 VM（强边界）；
- 缺点：攻击面大（整个 OS 栈）、启动慢、资源开销高。
🔹容器：
- 基于操作系统内核特性（Linux namespaces 实现进程/网络/文件系统等视图隔离，cgroups 实现资源限制，seccomp/apparmor/SELinux 强化安全策略）；
- 所有容器共享宿主机同一内核，无独立内核空间 → 隔离发生在用户态与内核态交界处；
- 隔离是“逻辑视图隔离”，而非“执行环境隔离”；若容器逃逸（如利用内核漏洞、配置不当的特权模式或挂载宿主机敏感路径），攻击者可直接访问宿主机内核及全部资源；
- 优点：轻量高效；但安全边界更薄，高度依赖内核健壮性与运行时配置。
✅ 简言之：
VM 隔离的是“机器”，容器隔离的是“进程”——前者靠硬件+Hypervisor 构建信任根，后者靠内核机制+严格配置维持可信边界。
# 示例：危险配置（加剧容器逃逸风险）dockerrun--privileged--volume/:/host alpinechroot/hostsh# ❌ 绝对禁止生产环境使用