结论先行
在计算隔离的演进谱系中，Docker（容器） 处于 QEMU（虚拟机）与 WASM（语言级沙箱）的中间地带。
- QEMU (硬件级隔离)： “我给你一间全封闭的独立别墅。” —— 安全性最高，开销最大。
- Docker (内核级隔离)： “我给你的房间装上防盗门和监控，但你们共用一套供水排水系统。” —— 性能与兼容性的平衡点，但存在内核逃逸风险。
- WASM (指令级隔离)： “我把你关在一个透明的玻璃罩里，你只能碰我允许你碰的东西。” —— 启动最快，极其轻量，但目前系统调用能力（WASI）受限。
三大沙箱技术全维度对比
| 维度 | QEMU (VM) | Docker (Container) | WASM (Sandbox) |
|---|---|---|---|
| 隔离层级 | 硬件抽象层 (Hypervisor) | 操作系统内核 (NS/Cgroups) | 进程内运行时 (Instruction/Linear Memory) |
| 共享资源 | 几乎不共享（除硬件指令） | 共享宿主机内核 | 共享宿主机进程空间 |
| 启动速度 | 分钟/秒级 | 秒/毫秒级 | 微秒级 () |
| 镜像体积 | GB 级 | MB 级 | KB/MB 级 |
| 性能损耗 | 较高 (CPU 5-10%, I/O 损耗大) | 极低 (接近原生) | 低 (JIT 编译后约原生 80-90%) |
| 安全性 | 最强 (硬件级边界) | 一般 (依赖内核补丁，易逃逸) | 强 (逻辑隔离，攻击面极小) |
| 应用兼容性 | 完美 (支持任何 OS/二进制) | 优秀 (支持 Linux 二进制) | 需重编为 WASM 字节码 |
第一性原理分析：Docker 的本质与局限
1. 架构设计：Namespace 与 Cgroups
Docker 的核心并非真正的“沙箱”，而是视图隔离。
- Namespace (隔离)： 让你“看不见”别人的进程、网络和挂载点。
- Cgroups (限制)： 让你“不能用”超过额度的 CPU 和内存。
- 局限性： 所有的容器都直接向同一个宿主机内核发起系统调用（Syscalls）。如果内核中某个
ioctl或ptrace实现有漏洞，攻击者就能穿透容器控制宿主机。
2. 安全性分析：攻击面的对比
- Docker 的攻击面： 约 300-400 个系统调用。内核代码量数千万行，漏洞概率高。
- QEMU 的攻击面： 几十个虚拟化指令 + 模拟设备驱动。边界清晰，经过数十年云计算验证。
- WASM 的攻击面： 仅由运行时（Runtime）定义的有限接口（如 WASI）。没有传统的系统调用概念，模块默认无法访问文件系统或网络，安全性属于“默认禁止”。
3. 性能与密度
在您的软件开发背景下（特别是 K8s 领域）：
- QEMU (Kata Containers)： 为了安全，牺牲了启动速度和内存开销（每个容器需额外 100MB+ 内存跑 Guest OS）。
- Docker： 适合运行传统的数据库（MySQL）、后端应用。
- WASM： 适合极致的高并发处理。例如，在同一个进程内可以运行上万个 WASM 实例，而 Docker 容器到几千个时，宿主机的内核调度开销（Context Switch）就会让系统崩溃。
针对您的技术背景（CKS/Cilium/Kube-OVN）
可以从这几个维度深化理解：
- 安全容器的演进： 为了解决 Docker 不安全的问题，K8s 社区推出了 Kata Containers（用轻量化 QEMU 跑容器）。而现在，业界开始研究 Runw 等项目，试图直接在 K8s 上跑 WASM，从而获得比 Kata 更快的启动速度和比 Docker 更好的隔离性。
- 网络平面（Cilium）： Cilium 使用 eBPF 也是一种沙箱技术。eBPF 与 WASM 非常相似：都是通过验证码（Verifier）确保安全，再通过 JIT 运行。
- eBPF 是内核里的沙箱，用于处理网络包。
- WASM 是用户态的沙箱，用于处理业务逻辑（如 Envoy 的七层过滤）。
