【从零造容器】Seccomp-BPF 与 Capabilities：容器安全的两道防线
💡
原文中文，约500字，阅读约需2分钟。
📝
内容提要
文章描述了系统调用的处理流程，包括通过Seccomp-BPF进行系统调用号和参数的检查，以及能力的验证，最终由内核执行实际操作。
🎯
关键要点
-
用户进程发起系统调用，例如mount。
-
第一道检查通过Seccomp-BPF进行，检查系统调用号和参数。
-
如果系统调用被允许，进入第二道检查。
-
第二道检查是能力检查，需要具备CAP_SYS_ADMIN权限。
-
如果具备权限，内核执行实际操作。
➡️
