gvisor

gVisor是一个为容器提供强隔离的应用内核。它通过在用户空间中运行并使用内存安全的语言（Go）实现了一个类似Linux的接口，从而在运行的应用程序和主机操作系统之间建立了一层坚固的隔离屏障。核心功能包括支持OCI标准的`runsc`运行时环境，能够与Docker和Kubernetes无缝集成，使得沙箱化容器易于部署。gVisor特别适合需要增强安全性的场景，如运行不受信任或潜在恶意代码的情况下，同时保持了低资源占用、快速启动及灵活性等优势。