linux命名空间是容器隔离的底层核心机制，通过为进程提供独立的pid、网络、文件系统、用户等资源视图实现逻辑隔离，而非物理复制资源；当前支持8类命名空间，各司其职，需组合使用（如pid+mnt+net+user）才能达成完整容器隔离效果。
Linux 命名空间是容器实现隔离的底层核心机制，它不复制物理资源，而是为进程提供独立的系统资源视图。每个命名空间像一道“逻辑墙”，让一组进程只能看到自己空间内的 PID、网络、文件系统、用户身份等，彼此互不可见、互不干扰。
命名空间的核心类型与作用
Linux 当前支持 8 类命名空间，每类隔离一种资源维度：
- PID Namespace：隔离进程 ID 空间。容器内 PID=1 的 init 进程，在宿主机上对应一个普通全局 PID（如 12345），且容器内看不到宿主机其他进程。
- Mount (mnt) Namespace：隔离文件系统挂载点。每个空间可拥有独立的根目录（/）、独立的 /proc、/sys 挂载，是容器 rootfs 和只读层实现的基础。
- Network (net) Namespace：隔离网络栈。包括独立的网络设备、IP 地址、端口、路由表、iptables 规则。多容器可同时监听 80 端口而无冲突。
- User Namespace：隔离 UID/GID 映射。容器内 UID 0（root）可映射为宿主机上的非特权 UID（如 100000），大幅降低逃逸风险。
- UTS Namespace：隔离主机名（hostname）和 NIS 域名（domainname）。注意：未启用时修改 hostname 会直接影响宿主机。
- IPC Namespace：隔离 System V IPC 对象（消息队列、信号量、共享内存），防止跨容器通信污染。
- Cgroup Namespace：隐藏 cgroup 路径信息，增强容器内对资源限制的感知一致性。
- Time Namespace：隔离系统时间（自 Linux 5.6+），允许容器内调整 clock_gettime() 返回值，用于测试或回放场景。
命名空间如何协同构成容器环境
单个命名空间能力有限，容器的真实隔离依赖多种命名空间组合使用：
linux-performance-analyzer
下载
Linux 性能分析与调优专家，覆盖 CPU、内存、磁盘 I/O、网络、内核参数、编译优化、容器/K8s。适用场景：系统卡顿/高负载、内存不足/OOM/Swap 高、CPU 异常/iowait 高。
- Docker 默认启用 mnt、uts、ipc、pid、net 五类命名空间；若需非 root 运行，必须显式启用 user 命名空间。
- 启用 pid + mnt + net 后，进程既看不到宿主机进程，又无法访问宿主机文件系统，也无法使用宿主机网络设备——三者叠加才形成“类虚拟机”体验。
- user + pid + mnt 组合是安全加固关键：user 命名空间让容器 root 映射为宿主机普通用户，mnt 防止挂载宿主机路径，pid 阻断进程窥探，三者缺一不可。
命名空间的生命周期与操作方式
命名空间不是静态配置，而是动态关联到进程，并由内核自动管理生命周期：
- 新建命名空间主要通过 clone()（带 CLONE_NEW* 标志）、unshare()（让当前进程脱离原有命名空间）、setns()（将进程加入已有命名空间）三个系统调用实现。
- 每个进程通过
task_struct->nsproxy指针引用一组命名空间实例；当最后一个进程退出该命名空间时，内核自动回收其资源。 - 可用
lsns查看系统中所有命名空间及所属进程数；用readlink /proc/[pid]/ns/[type]可查看某进程所属命名空间的 inode 号，相同 inode 表示同属一个命名空间。
命名空间的局限性与注意事项
命名空间提供的是视图隔离，不是绝对安全屏障：
- 它不隔离 CPU、内存、磁盘 I/O 等资源——这些需靠 cgroups 配合限制。
- 某些内核对象（如某些 sysctl 参数、/proc/sys/kernel 下部分项）仍可能跨命名空间影响，需结合 sysctl namespace 支持 或容器运行时配置。
- 未正确配置 user 命名空间时，容器内 root 用户在宿主机上仍是真实 root，一旦逃逸即完全失守。
- mount 命名空间默认继承父空间挂载传播类型（shared/slave/private），若未设为
private，容器内挂载可能意外传播到宿主机，造成数据泄露或破坏。
