gVisor

一种开源容器运行时，通过用户空间内核拦截系统调用以增强容器安全性与隔离性。