简单说说容器/沙盒(Sandbox)以及Linux seccomp

如果应用程序逻辑有误，会造成操作系统崩溃… 
这句话其实不对。如果一个应用程序都能让一个操作系统崩溃了，那这一定是这个系统在设计上或者实现上的BUG！再次重申，我不知道谭浩强的C语言教材现在是怎么讲的，但是至少在15年前，很多老师都会说访问空指针会造成操作系统崩溃，这在32位虚拟内存的系统中是错误的。

虽然一个应用程序不能让一个正常的现代操作系统崩溃，但是它却可以对操作系统的运行环境造成巨大的人为破坏，比如触发一个操作系统潜在的漏洞…即便是基于虚拟地址空间的操作系统，也是不安全的。更退一步，抛开安全漏洞，从资源利用的角度看，如何限制一个进程或者一组进程可以使用的资源也是一个亟待解决的问题。换句话说，需求就是隔离。

于是人们就想出了沙盒这个概念，即Sandbox。将一个应用程序或者一组应用程序隔离在一个受限的环境中，使其无法逃逸。

概念很OK，实现起来就五花八门了，各说各的理。何谓受限，如何确保…

很早之前就玩过Java Applet，这种依托本地JVM运行远程Java字节码的环境就是一个沙盒，通过一个特殊的类加载器从一个URL加载字节码并运行。后面自从不做Java了以后我就再也没有关注过沙盒这个概念，直到前些时间偶然touch了一下Docker。不禁感叹，时间过了10年，技术变化的太多。

和大概六七个朋友聊Docker，大家水平绝对是第一梯队，都比我强太多，结果从他们那里获得的结论和我预期的结论相去甚远。Docker不是红了好几年吗？然而在他们眼里，无一例外，都在唱衰，他们都是用一种鄙视甚至哀其不幸的眼光来看待Docker这个现象级的玩具，是的，至少4个人说了相同的话，Docker从上到下就是个培训班课后作业或者玩具之类的话，当然了，这些人中大多数互相并不认识…

我比较懵的是，我不知道该站哪队了，其实我是想本着学习的态度向他们讨教些干货的，可没想到上来就是如此形而上的东西，令我悚然。我记得上周末午夜正在看恐怖悬疑电影放松一下，结果收到来自不同人的三封邮件(其中一封不是讨论形而上学的，而是讨论那个macvlan虚拟网卡和宿主网卡之间通信的)，看了以后，便关上了电视，打开了一个SecureCRT终端…我想实地考察一下Docker，firejail这些在他们眼里为什么是如此不堪。

我是并不懂什么容器，沙盒这些的，我只是在工作中碰到了一个关于容器内网卡无法释放的BUG，需要定