> 授权边界：本部分 socket、API、挂载与 RBAC 均为自研隔离靶场虚构占位（ > > `<占位令牌>` > > 、 > > `lab.local` > > 、 > > `10.10.10.0/24` > > ），仅用于书面授权的隔离靶场学习。本册只讲作为组件本身的基础运行机制与配置缺陷，深度的集群攻防见分支扩展册 EX-A《K8s 集群安全》。未授权 / 挂载 / RBAC 归配置缺陷，runc / 内核逃逸归源码或内核漏洞，分开标注。 > 三要素判据：可达（公网 / 内网邻接）｜可控（输入能进拼接点）｜权限生效（文件 / 目录 / 角色实际可写可读）；三项不全即「仅纸面缺陷，未构成风险」。 ### 12.1 Docker（容器引擎） #### ① 组件是什么 Docker 是 Go 编写的容器引擎软件，管理镜像、容器与网络，默认通过 unix socket（`/var/run/docker.sock`）提供 API。它是容器运行时的管理层，本身不做内核级隔离，隔离交给 Linux 内核能力。 #### ② 什么语言写的，调了 C 的哪些库 / 系统调用 *