### ① 组件是什么 Pod 是 K8s 最小调度单元，一个 Pod 内多个容器共享网络与存储命名空间，作为一个整体调度到节点。它是所有工作负载的底座对象。 ### ② 语言与 C 库 Pod 是声明对象，本身不是程序。容器内首进程由运行时以 `execve` 拉起（缺位标注：非 `fork+execve` 的 shell 派生模型），Go 侧编排并发走 goroutine，不 fork。隔离视图由 runc 经 `clone`/`unshare` 建 namespace，这发生在运行时层，不在 Pod 对象代码里。 ### ③ 运行机制 Pod 内容器共享 NET namespace（同一 IP、端口空间）、共享卷挂载。各容器有独立 PID/MNT（默认）。kubelet 收到 Pod 声明后交运行时拉起。 ### ④ 常见配置缺陷 - `hostPID`/`hostNetwork`/`hostIPC` 打开，直接共享宿主机命名空间。 - `hostPath` 挂宿主目录（尤其根目录、`/var/run/docker.sock`）。 - `privileged: tr