Docker
Docker是一个开源的容器化平台，基于Linux容器技术，允许开发者将应用程序及其依赖项打包为标准化的镜像单元，并在隔离的容器环境中运行。其核心特性包括：通过镜像机制保证跨平台环境一致性、轻量级资源隔离（相较于传统虚拟机）、以及支持快速部署与横向扩展。广泛应用于软件开发、持续集成与微服务架构等场景。
核心事实
时间轴 (近 90 天)
n8n 支持自托管部署，官方推荐使用 Docker 或 npm 全局安装，自托管建议至少 2GB 内存。
vercel vcr login 的作用是将仓库凭证写入 Docker 的凭据存储，使后续 docker push 类操作无需手动输入密码。
使用 Vercel Container Registry 需要安装 Docker 和 Vercel CLI，并依次执行 vercel link、vercel vcr login 和 docker vercel vcr build docker . --push 命令。
过去 500 MB 的单层限制迫使构建者将大型依赖拆成多个 RUN 或 COPY 步骤，但这会破坏缓存逻辑，任何一层变动都会导致后续层缓存失效。
安全设计应遵循“先划定范围，再建立信任，逐步扩展”的反射动作，例如仅将 Docker 控制工具指向一台可牺牲的备用主机而非集群关键资产。
任何能访问 Docker socket 的东西都能在那台机器上做任何事，包括启动一个挂载整个文件系统的容器来读取任意文件，这等价于拥有宿主机上的 root 权限。
Ratel 是一个 MCP 服务器，用于安全地控制 Docker，由 AI 客户端连接的网关和部署在每台 Docker 主机上的小节点两部分组成。
在演示中，AI 通过列出容器、查看重启次数、拉取并读取 50 行日志，诊断出应用因配置值格式错误而崩溃循环，随后在用户指令下重启容器并检查新日志确认干净启动。
直接给 AI 一个 shell 的攻击面几乎是无限的，而 Docker 有干净、定义明确的控制面（list、inspect、logs、stats、start、stop、restart），每个动作可被单独允许或拒绝。
应对环境配置问题的常见办法是使用虚拟环境（如venv、conda）或容器（如Docker）隔离项目，并在提示词中明确告知AI当前环境版本。
还有 40 条时间轴事件
全部知识事实 (20)
沙箱（Sandbox）是一种将程序运行限制在隔离环境中的技术机制，核心思想是即使被隔离程序存在恶意行为也无法影响宿主系统和外部环境
90%已验证容器共享宿主机内核而非模拟完整硬件，因此启动速度可达毫秒级，资源开销远低于传统虚拟机
90%已验证Proxmox VE 是一个基于 Debian Linux 的开源服务器虚拟化管理平台，集成了 KVM 虚拟机和 LXC 容器技术
80%已验证gVisor 是 Google 开源的用户空间内核，通过在容器与宿主机内核之间插入沙箱层，提供比标准 Docker 容器更强的安全隔离
80%已验证Go编译为单一二进制文件，无需复杂运行时依赖，便于在各类环境中快速部署
80%已验证容器技术（以Docker为代表）利用Linux内核的namespace机制实现进程、网络、文件系统隔离，借助cgroups限制CPU、内存等资源用量
80%已验证Ollama将本地模型部署简化为一条命令行指令，并提供与OpenAI兼容的本地API接口
80%已验证Docker容器与传统虚拟机相比，启动速度更快（秒级vs分钟级），资源占用更少
80%已验证Docker Desktop选择基于WSL2运行
80%已验证Docker基于Linux内核的cgroups（资源限制）和namespace（进程隔离）机制实现容器化
80%已验证Ollama支持macOS、Linux、Windows跨平台运行
80%已验证主流沙箱方案通常基于容器（如Docker）或微虚拟机（如Firecracker）技术，容器启动快但隔离性相对较弱，微虚拟机安全性更高但冷启动延迟更大
75%已验证Dify支持三种部署方式：基于Docker部署、源码部署、以及官方在线托管页面
75%已验证云端沙盒是一种隔离的虚拟化执行环境,通过环境标准化和版本锁定确保代码在任何时间地点执行得到一致结果,Docker容器技术是其常见实现方式
75%已验证Hugging Face的Spaces应用运行在基于Docker的容器化环境中，支持Gradio和Streamlit等框架
75%已验证Pi-hole是基于Linux的网络级广告拦截方案，作为本地DNS服务器运行，通过维护广告和追踪域名黑名单在网络层面阻断连接
75%已验证沙盒环境通常基于容器技术（如Docker）或操作系统级隔离（如Linux namespaces、seccomp过滤器）实现
75%已验证Dify支持通过Docker Compose进行部署，可以通过一个配置文件定义并编排所有服务
75%已验证Docker容器技术通过将应用和其运行环境打包在一起，解决了环境一致性问题
75%已验证沙箱化执行环境通过容器、虚拟机或受限解释器，把代码运行隔离在有限的 CPU、内存、网络与文件系统权限内，并设置超时与输出截断。
70%