1.dockerԴ?源码源码????????Դ??
2.如何学习Docker
3.Containerd容器管理机制
4.线上环境OOM频发，MyBatis有坑...
5.技术系列开源之DrawDocker源码略读（一）
6.安全干货DockerCVE-2018-6552

dockerԴ?分析????????Դ??

       “Website-downloader”是一个利用Node.js开发的工具，其主要功能是随书协助用户下载任何网站的完整源代码，包括所有资源，源码源码如JavaScripts、分析样式表、随书android直播源码下载等。源码源码

       为了直观展示效果，分析您可以在文末找到网站源码的随书地址。该项目通过集成wget和archiver工具，源码源码不仅实现了对网站所有资产的分析下载，还支持将其压缩并通过socket通道发送给用户。随书

       关于快速启动，源码源码推荐使用docker方式，分析这种方式的随书优势在于方便快捷的启动和停用。下面将展示Dockerfile及docker-compose文件的示例，执行特定命令即可启动。

       启动完成后，请检查docker日志以确认无误。访问.0.0.1:，您将能亲眼目睹效果。

       对于常规方式启动，“Website-downloader”同样提供了一种强大且易于操作的解决方案。它旨在为需要离线访问网站内容的用户和开发者提供便利，让学习和分析网站构建方式变得更为简单。

       您可以通过访问以下链接进行体验：开源地址：github.com/AhmadIbrahii...体验demo：website-downloader.onrender.com...

如何学习Docker

       å¦‚何学习Docker

       å¯¹äºŽåœ¨æ ¡å­¦ç”Ÿè€Œè¨€ï¼Œåº”该如何去学习docker？毕竟学校没有具体的应用需求作为引导，所以应该如何去研究Docker？还有，Docker的源代码有没有必要去研究？

       é¦–先我说明下，我是一位在浙江大学VLIS实验室云计算项目组的学生，使用过Docker，研究过Docker及其源码，也定制过Docker。

       å¯¹äºŽå­¦ç”Ÿå¦‚何学习Docker，我认为首先要看一下学生个人的知识背景、能利用的资源资源、以及个人兴趣和发展方向。

       1.学习Docker，如果没有云计算的基本知识，以及内核的基本知识，那么学习并理解起来会稍吃力。作为容器，Docker容器的优势在哪，不足在哪，最好了解容器的实现是怎样的（简单了解）；拥有镜像管理，Docker又该如何体现软件开发，集成，部署，发布，再迭代的软件生命周期管理优势。以上两点我认为最为关键，有这两方面的认识势必会对之后的工作帮助巨大。

       2.关于学习资源，起码的硬件设施总是要有的。Docker及其生态的发展很快，不使用纯理论肯定收效甚微。另外，资源还包括Docker官方，各大电子媒体平台，技术论坛，开源社区等，往往大拿的观点能点破自己的困惑，或者让自己知道哪方面的认识还很欠缺，以及让自己少走很多的弯路。

       3.个人兴趣的话，归结为强扭的瓜不甜。起码应该认同Docker的设计价值，以及Docker的未来潜力，当然有依据的批判Docker并带动大家的思考，也是深切关注的表现。

       4.个人发展方向，我认为如果需要把Docker当作软件生命周期管理工具的话，那用好Docker最为重要，API及命令的理解与使用是必需的。如果专注系统设计方面，那么除Docker以上的知识与经验之外，若有Docker源码的学习与理解，那么这些肯定会让你的Docker水平提高一个层次。

       -- 8 0

       xds

       å­¦ä¹ Docker，最大的好处是跟进新技术发展方向。我觉得在校生应该没有多少硬性需求在Docker的研究上，这也是为什么学校没做具体应用要求的原因。最实际的做法是看一些Docker使用案例，自己实践出一些经验应该会再以后的社会实践中起到作用。

       ç ”究docker的源代码，应该到你下定决心从事云计算方面的事业或者研究，那么你就需要以研究者的身份去做仔细的源码分析的工作。

       -- 3 0

       åˆ˜å‹ƒGTDer

       æˆ‘作为参加工作的过来人来说，我认为只有你真正参加工作后，在工作中学习跟有意义，毕竟Docker知识云计算其中的一个软件平台而已，说不来等你毕业了，新的技术出现Docker不一定是唯一选择。

       ä½œä¸ºå­¦ç”Ÿäº†è§£æ–°æŠ€æœ¯ç¡®å®žæ— å¯åŽšéžï¼Œä¸€å®šè¦èƒ½æŠŠç†è®ºè½¬åŒ–为生产力才是正道。

       -- 3 0

       9lives - 爱生活，爱云计算。

       å­¦ä¹ ä»»ä½•ä¸€ä¸ªå¼€æºæ–°æŠ€æœ¯ï¼Œé¦–先问自己几个问题：

       1. 为什要学习它？

       2. 学习它需要了解哪些相关知识点？

       3. 如何快速学习？

       4. 该技术的使用场景是什么？

       æ‹¿æˆ‘个人的学习经验来举例（本人之前比较了解OpenStack）

       ä¸ºä»€è¦å­¦ä¹ docker？

       å›žç­”：

       docker是轻量级虚拟化技术，docker使linux容器技术的应用更加简单和标准化

       docker的速度很快,容器启动时毫秒级的

       docker将开发和运维职责分清

       docker解决了依赖地狱问题

       docker支持几乎所有操作系统

       docker有着飞速发展的生态圈

       å¾ˆå¤šIT巨头逐渐加入和支持

       å­¦ä¹ å®ƒéœ€è¦äº†è§£å“ªäº›ç›¸å…³çŸ¥è¯†ç‚¹ï¼Ÿ

       å›žç­”：

       äº‘计算概念相关（restapi, 微服务，OpenStack）

       Linux 系统管理（软件包管理，用户管理，进程管理等）

       Linux 内核相关（Cgroup, namespace 等）

       Linux 文件系统和存储相关（AUFS，BRFS,devicemapper 等）

       Linux 网络（网桥，veth,iptables等）

       Linux安全相关（Appmor,Selinux 等）

       Linux进程管理（Supervisord,Systemd etc)

       Linux容器技术（LXC等）

       å¼€å‘语言（Python, GO,Shell 等）

       3.如何快速学习？

       å›žç­”：个人体会最好有一个实际的需求或项目来边实践边学习，入门可以参考（第一本docker书）写的不错，非常适合入门。除此之外，阅读牛人的blog比如官方blog /

       BTW: 熟读docker文档

       -- 0 0

       tuxknight

       æ¥¼ä¸Šå„位说的都很好，我再补充一点：

       æ‰¾ä»½ç›¸å…³çš„实习工作

       -- 0 0

       lancer

       å·¥ä½œå’Œç ”究是两个方向我个人认为，工作需要通过你的实际效能为企业带来经济效益，而研究的话可以专注某个点。但是研究离不开工作，因为工作可以让你更好的理会技术带来的价值，以及如何提供更好的服务，用户使用场景需要那些技术的突破。有了这些认识，然后更加专注的研究某个技术点，这样或许可以说技术和商业是分不开的。

       -- 0 0

       ç»¿å‰‘色影

       docker现在十分火热，值得学习一下。

Containerd容器管理机制

       containerd是一个高级容器运行时，由Docker项目衍生，实现CRI规范，小米悬浮球源码现为CNCF托管，提供新的容器解决方案的基础。k8s通过containerd创建容器时，containerd生成containerd-shim进程，此进程操作容器以避免containerd挂断导致所有容器退出的问题。containerd-shim用于执行命名空间、cgroups配置，挂载根文件系统等操作。标准化实现由OCI指定，runc为参考实现。

       containerd-shim调用runc启动容器，而runc执行后立即退出，containerd-shim则成为容器的父进程，负责监控、状态收集和子进程清理，确保无僵尸进程。

       containerd初始化操作通过方法实现。具体创建过程包括容器对象内部处理的多项操作。初始化后，启动容器操作则由上述方法执行。

       关于详细实现代码，请参考相关源码：github.com/containerd/c...

       深入理解containerd创建、启动容器的代码实现，请访问进一步分析：qikqiak.com/post/contai...

       更多讨论和细节分析见：colstuwjx.github.io/...

线上环境OOM频发，MyBatis有坑...

       线上服务频繁遭遇 OutOfMemoryError（OOM）问题，对业务造成了严重影响，一天内服务重启多达五次，台服dnf host源码导致整个系统几乎瘫痪。通过Skywalking追踪，发现链路调用大部分呈现红色，亟待解决。作为排查者，我接手了这个任务。

       首先，我分析了OOM的常见原因，主要包括堆内存和元空间不足。在我们的案例中，Mybatis的问题浮出水面。源码分析显示，Mybatis在拼接SQL时，通过集合存储SQL和参数，当SQL参数过多导致SQL过长时，集合会变得庞大，回收不及时就会引发内存溢出。

       由于环境限制，无法直接通过jstack、jmap工具定位问题，这增加了排查的难度。但在网络搜索中，我找到了一篇与DruidDataSource和Mybatis相关的问题，这让我找到了问题的线索，即多线程并发操作可能导致内存占用过高，从而触发OOM。

       进一步的jfinal dbkit源码解析源码分析揭示，DynamicContext类中的ContextMap（继承自HashMap）在存储SQL参数和占位符时，存在无法被GC回收的问题。当并发查询量增加时，这可能导致内存溢出。我通过线上复现情景，验证了这一理论，发现服务频繁进行Full GC，最终引发了OOM。

       针对问题，我提出解决方案：优化SQL拼接，避免过长的SQL体积，强调代码和SQL编写的重要性。同时，为了应对未来可能的故障，我配置了docker中的OOM保留dump文件，以备不时之需。

技术系列开源之DrawDocker源码略读（一）

       本文由神州数码云基地团队整理撰写，若需转载，请注明出处。本文将简要解析开源图形化工具“神笔马良”（DrawDocker）的设计引擎和设计试图视角功能，以供后续开发者参考。分析基于年月日的master分支代码，读者应依据实际情况进行判断。

       项目包含侧栏、画布和右侧格式栏，以及上方工具栏。侧栏提供搜索图形、android背景虚化源码便笺本、自定义Kubeapps组件栏、更多图形按钮等功能。其中，搜索图形功能通过关键字实现，由Sidebar对象的addSearchPalette方法控制。便笺本功能则用于保存临时图形模板，自定义Kubeapps组件栏则能展示并生成自定义应用组件。Kubeapps应用组件栏显示所有应用组件模板，通过读取kubeappsPalette.json文件的数据，创建包含图形、应用名、chart名和chart地址等信息的应用组件。

       创建新的组件栏需新增添加面板方法，并在初始化时调用。更多图形方法位于MoreShapesDialog中，新建的组件栏需添加至条目中才能在“更多图形”中显示。自定义属性或格式图形模板需在shapes和stencils目录下创建相应文件。

       画布部分主要由mxGraph对象实现，提供选中、获得样式等功能。右侧格式栏提供绘图、样式、文本、调整图形和安装参数栏，依据选中状态动态显示。样式栏显示图形属性及其值，若为Kubeapps图形，显示应用名、安装状态等。安装参数栏显示安装或删除按钮等。工具栏包含菜单、撤销、重做、删除、重命名、保存、语言等功能，通过Actions、EditorUi等对象实现。

       如需改进安装功能，可在Actions对象中修改或定义新动作，甚至在AppController.java文件中调整。项目已开源在GitHub，有兴趣的开发者可自行探索和优化。

安全干货DockerCVE--

       cve--

       此漏洞未有公开分析，唯一的参考是长亭在滴滴安全大会的PPT，信息简略，仅在完成利用后发现一些未注意到的细节。漏洞基于条件竞争，主要影响未修复版本的is_same_as函数，通过特殊方法使其不执行正常逻辑，继续往下执行。

       源码分析

       展示了is_same_as源码，以及修复前后版本的对比。apport源码位于2..9版本，追踪源码找到更改过的pid进入get_pid_info，贴出源码。

       apport为ubuntu程序，用于处理程序崩溃信息，配置文件如/sys/kernel/core_pattern影响生成core文件的命名方式。核心是确定生成的core文件路径，以及内核coredump.c传入的参数。

       核心配置文件为/sys/kernel/core_uses_pid，值为1代表生成的core文件带.pid，0代表不带。同时，/proc/sys/kernel/pid_max限制最大pid值，影响核心循环计数。logrotate配置用于日志管理。

       在Ubuntu .中，apport与漏洞版本差异大，选择替换整个apport文件。遇到程序不运行问题，可能涉及core_pattern配置。通过日志分析发现入参多了一个%E，删去后程序恢复正常。

       逃逸步骤

       利用条件竞争绕过分支，首先kill对应pid，然后通过大量fork等待创建进程，占用pid。利用docker内进程路径控制物理机中core生成路径。生成core前检查ulimit -c，限制core文件大小，设置ulimit -c unlimited。

       逃逸第二步

       通过logrotate定时任务触发执行core中的指令，将想运行的指令写成字符串形式，保存在core文件中。使用logrotate格式编写命令，确保成功执行。手动触发logrotate命令，监听对应端口以获取返回结果。

Docker 源码分析

       本文旨在解析Docker的核心架构设计思路，内容基于阅读《Docker源码分析》系文章后，整理的核心架构设计与关键部分摘抄。Docker是Docker公司开源的基于轻量级虚拟化技术的容器引擎项目，使用Go语言开发，遵循Apache 2.0协议。Docker提供快速自动化部署应用的能力，利用内核虚拟化技术（namespaces及cgroups）实现资源隔离与安全保障。相比虚拟机，Docker容器运行时无需额外的系统开销，提升资源利用率与性能。

       Docker迅速获得业界认可，包括Google、Microsoft、VMware在内的领导者支持。Google推出Kubernetes提供Docker容器调度服务，Microsoft宣布Azure支持Kubernetes，VMware与Docker合作。Docker在分布式应用领域获得万美元的C轮融资。

       Docker的架构主要由Docker Client、Docker Daemon、Docker Registry、Graph、Driver、libcontainer以及Docker container组成。

Docker Client：用户通过命令行工具与Docker Daemon建立通信，发起容器管理请求。

Docker Daemon：后台运行的系统进程，接收并处理Docker Client请求，通过路由与分发调度执行相应任务。

Docker Registry：存储容器镜像的仓库，支持公有与私有注册。

Graph：存储已下载镜像，并记录镜像间关系的数据库。

Driver：驱动模块，实现定制容器执行环境，包括graphdriver、networkdriver和execdriver。

libcontainer：库，使用Go语言设计，直接访问内核API，提供容器管理功能。

Docker container：Docker架构的最终服务交付形式。

       架构内各模块功能如下：

Docker Client：用户与Docker Daemon通信的客户端。

Docker Daemon：后台服务，接收并处理请求，执行job。

Graph：存储容器镜像，记录镜像间关系。

Driver：实现定制容器环境，包括管理、网络与执行驱动。

libcontainer：库，提供内核访问，实现容器管理。

Docker container：执行容器，提供隔离环境。

       核心功能包括从Docker Registry下载镜像、创建容器、运行命令与网络配置。

       总结，通过Docker源码学习，深入了解其设计、功能与价值，有助于在分布式系统实现中找到与已有平台的契合点。同时，熟悉Docker架构与设计思想，为云计算PaaS领域带来实践与创新启发。