Docker的核心隔离依赖Linux Namespace机制，提供PID、NET、MNT、UTS、IPC、USER六类命名空间实现视图隔离，但需协同cgroups和安全模块才能构成完整隔离边界。

Docker 的核心隔离能力主要依赖 Linux 内核的 Namespace 机制，它让每个容器拥有独立的视图，看起来像一个“轻量级虚拟机”，但实际开销远低于传统虚拟化。

Namespace 是什么：进程视角的“分身术”

Namespace 是 Linux 内核提供的一组隔离机制，它为进程组创建独立的系统资源视图。同一个资源（比如 PID、网络设备、挂载点）在不同 Namespace 中可以有完全不同的编号或状态。Docker 启动容器时，默认启用 6 类 Namespace（如 PID、NET、MNT、UTS、IPC、USER），让容器内进程“看不见”宿主机和其他容器的对应资源。

例如，容器内第一个进程总是 PID 1，但它在宿主机上可能是一个随机数字（如 12847）；容器里执行 ip a 看到的是自己的网卡，和宿主机的 eth0 完全无关——这背后就是 NET 和 PID Namespace 在协同工作。

Docker 默认启用的 Namespace 类型及作用

• PID Namespace：隔离进程 ID 空间，实现容器内 PID 1 的自治与信号隔离（如容器内 kill -1 不影响宿主机 init）
• NET Namespace：提供独立网络协议栈，包括网络接口、路由表、iptables 规则、端口等，是容器网络的基础
• MNT Namespace：隔离文件系统挂载点，使容器可拥有专属根目录（通过 chroot 或 pivot_root 配合实现 rootfs）
• UTS Namespace：隔离主机名（hostname）和域名（domainname），让容器可设置自己的 hostname（如 nginx-app）
• IPC Namespace：隔离 System V IPC 和 POSIX 消息队列，避免容器间共享内存或信号量冲突
• USER Namespace：映射容器内 UID/GID 到宿主机非特权用户，提升安全性（需显式启用，如 --userns-remap）

如何查看容器使用的 Namespace

在宿主机上，可通过 /proc/[pid]/ns/ 查看任意进程所属的 Namespace。例如：

启动一个容器：docker run -d --name test alpine sleep 3600

找到其主进程 PID：docker inspect test -f '{{.State.Pid}}'（假设返回 12345）

查看该进程的网络 Namespace：ls -l /proc/12345/ns/net，输出类似 net:[4026532304]，其中数字是 Namespace 的 inode 号，不同容器该数字不同，相同即表示共享同一 Network Namespace。

多个容器可通过 --network container:name 共享同一个 NET Namespace，这是实现“超轻量服务网格”的底层方式之一。

Namespace 的局限性与补充手段

Namespace 提供的是“视图隔离”，不是资源强约束。它不控制 CPU、内存用量，也不阻止进程逃逸（如通过未打补丁的内核漏洞）。因此 Docker 必须结合其他机制：

• Cgroups：负责资源限制（CPU shares、内存上限、IO 权重等），弥补 Namespace 在资源管控上的空白
• Seccomp/BPF/SELinux/AppArmor：限制系统调用或强制访问控制，防御恶意行为或越权操作
• Capability 剥离：默认丢弃 AUDIT_WRITE、NET_RAW 等高危 capability，防止容器内提权利用

单独依赖 Namespace 无法保障安全，只有 Namespace + Cgroups + Security Modules 协同，才构成 Docker 容器运行时的完整隔离边界。