用shell脚本在linux手写一个类似Docker、Podman的rootless隔离容器沙箱
https://code.bfw.wiki/code/17612032057945020066.html
曾经，我以为 Docker 和 Podman 是某种深不可测的魔法。它们挥一挥魔杖，就能变出一个个干净、隔离的开发环境。
但今天，我决定掀开这层神秘的面纱，用 Linux 最古老、最强大的工具——Shell 脚本，亲手“饲养”一只属于我自己的、最原始的容器。这不仅是一篇技术日记，更是一次关于“隔离”与“创造”的冒险。
第一站：巨龙的巢穴 —— Docker 和 Podman 是如何工作的？
在我们开始打造自己的“宠物”之前，得先去巨龙（Docker/Podman）的巢穴里探探险，弄清楚它们的魔法究竟是什么。
经过一番探索，我发现它们的魔法并非来自异世界，而是深深植根于 Linux 内核本身提供的两种神奇能力：
命名空间 (Namespaces)：想象一下，你给了你的程序一副“魔法眼镜”。戴上它，它看到的世界就和别人不一样了。
PID 命名空间：戴上它，程序就只能看到自己和自己的子进程，仿佛世界上只有它们存在。进程号可以从 1 重新开始！
网络命名空间：戴上它，程序就有了自己独立的网卡、IP 地址和端口，再也不用担心和主机或其他程序抢端口了。
挂载命名空间：戴上它，程序就有了自己独立的文件系统视图，外面世界的风风雨雨都与它无关。
用户命名空间 (User Namespace)：这是最神奇的一副眼镜！戴上它，一个在外面世界的普通用户，在自己的小世界里可以摇身一变成为至高无上的 root！
控制组 (Cgroups)：这就像给你的程序建了一间“能量罩”。你可以规定它最多只能使用多少 CPU、多少内存。这样，就算它失控了，也不会把整个系统拖垮。
所以，Docker/Podman 的核心工作流就是：
准备一个干净的文件系统 (我们称之为“镜像”) -> 使用命名空间创造一个隔离的“沙箱” -> 使用 Cgroups 限制资源 -> 在沙箱里运行我们的程序。
听起来……似乎没有那么遥不可及？我心里燃起了一丝火花：我能用最简单的工具，模仿这个过程吗？
第二站：锻造工具 —— ...
点击查看剩余70%
{{collectdata}}
网友评论0