gvisor

gVisor 是一个为容器设计的用户态应用内核，提供强隔离能力以增强运行时安全性。它通过在用户空间实现 Linux 系统调用接口（兼容 OCI 标准），以 Go 语言编写，避免直接依赖主机内核，从而大幅缩小攻击面；配套 runtime `runsc` 可无缝集成 Docker 和 Kubernetes。相比传统容器，它在保持轻量、快速启动的同时，提供了接近虚拟机的安全边界；但不依赖硬件虚拟化，也非 syscall 过滤或内核加固方案。适用于多租户环境、不可信代码沙箱执行、金融/政府等对容器隔离性要求严格的生产场景。