Mặc định container chạy dưới quyền root — kẻ khai thác được app là có root trong container. Bài này đo thật ba lớp phòng thủ: --user chạy non-root (ghi /etc bị Permission denied), --cap-drop ALL bỏ quyền đặc quyền (root cũng không chown được), và --read-only khoá rootfs (không ghi được binary). Phòng thủ theo lớp để một container bị chiếm không thành thảm hoạ.
Một binary Go cầm secret qua env, file 0400, tmpfs và argv, chạy hai chế độ rồi đi tìm nó ở chín chỗ. Log %+v in nguyên mật khẩu, kiểu Redacted in [REDACTED]. /proc/pid/environ vẫn giữ ENV_SECRET sau os.Unsetenv, nhưng tiến trình con không còn thấy. Quét /proc/pid/mem: 5 bản sao ở chế độ xấu, 2 ở chế độ tốt. Core dump 118 MB chứa env, mount, argv và bản file cũ nếu không zero, 0 nếu đã zero; ulimit -c 0 thì không có core. uid 65534 bị từ chối đọc file 0400, root đọc bình thường. docker inspect và docker top từ host lộ -e và argv. Watcher mtime tải lại secret sau 400 đến 467 ms, SIGHUP tức thì.
Docker Compose cho dev Odoo: bind-mount thư mục addons từ máy host để sửa code thấy ngay, kết hợp --dev=all. Có bằng chứng thật sửa file trên host và container đọc thấy tức thì.
Dựng Odoo 19 chạy trên máy cá nhân bằng Docker Compose — không cài lộn xộn vào máy, sai thì xoá làm lại. Từng bước có ảnh terminal và màn hình thật.
Pod Security Standards kiểm soát pod LÀM GÌ; bài này lùi một bước, kiểm soát cái NẰM TRONG pod. Quét sáu ảnh: python:3.12 Debian 2.889 lỗ hổng so với python:3.12-alpine chạy cùng Python chỉ 25 — chênh 115 lần chỉ vì mọi thứ đi kèm. Và phép đo quan trọng nhất: chữ ký gắn với digest chứ không với thẻ, nên đổi ruột ảnh dưới cùng một thẻ v1 làm chữ ký mất hoàn toàn. Dùng digest, không dùng thẻ.
Câu hỏi 'Kubernetes hay chỉ Docker Compose' thường được trả lời bằng niềm tin. Dựng cùng một ứng dụng hai container bằng cả hai rồi đo song song: bốn chỉ số đầu gần hoà (K8s không chậm hơn, không tốn RAM container hơn), nhưng K8s mang 743 MB hạ tầng cố định. Khác biệt thật ở cập nhật: K8s một bản không probe mất yêu cầu y như Compose; chỉ nhiều bản + readinessProbe + preStop mới cho 0 lỗi. Kubernetes không tặng uptime, nó tặng cơ chế.