概念/var/run/docker.sock
Docker socket
Docker守护进程（dockerd）暴露的Unix域套接字，Docker CLI通过它与守护进程通信，下发创建、启动、停止、删除容器等指令。谁能读写这个socket，谁就等价于拥有宿主机上的root权限
时间轴 (近 90 天)
10月28日
任何能访问 Docker socket 的东西都能在那台机器上做任何事，包括启动一个挂载整个文件系统的容器来读取任意文件，这等价于拥有宿主机上的 root 权限。
待验证50%
10月28日
Docker socket 的 read-only 挂载标志只让 socket 文件本身只读，对通过该连接发送的 API 请求（包括写操作如重启容器）毫无限制作用。
待验证50%