容器必须降权运行、禁挂敏感路径、启用镜像签名、实施默认拒绝网络策略。具体包括：dockerfile 设 use […]

journalctl 查不到服务日志需依次确认 unit 名称正确、服务已启用、日志未被轮转清理；检查 jou […]

回滚需分场景：apt 需提前锁定或手动下载旧包；dnf/yum 依赖历史记录；systemd 需备份配置；do […]

应开启 php 错误显示并配置 error_reporting 为 e_all，可通过修改 php.ini 中 […]

rootless 容器更安全的关键在于 user namespace 隔离：podman 将容器内 uid 0 […]

docker images 的 size 是各镜像层逻辑展开总和（含重复），而 du -sh 统计的是磁盘实际 […]

容器数据持久化有五种方法：一、绑定挂载实现宿主机目录映射；二、docker 卷由守护进程管理，适合生产环境；三 […]

waf 规则中 request.body 为空因框架未主动解析，需显式调用 get_data() 或 body […]

普通用户无法读取 /var/log 下日志是因权限模型变更：/var/log/syslog 默认仅 root: […]

ufw 是带状态的防火墙管理器，iptables-persistent 仅是规则快照工具；ufw 用语义化命令 […]