Namespace 是 Linux 内核提供的一种资源隔离技术。它能够将一组进程“关”进一个独立的环境中，这个环境中的进程只能看到本环境内的系统资源（如进程 ID、挂载点、网络设备等），而无法感知宿主机或其他隔离环境中的同类资源。通过这种方式，一台物理服务器上可以同时运行多个互不干扰的“小操作系统”——这就是容器技术得以实现的最底层基石。
1. Namespace 的隔离对象
目前内核已经实现了多种 Namespace，每种负责隔离一类资源：
| Namespace 类型 | 隔离的资源 | 典型用途 |
|---------------|-----------|---------|
| Mount (mnt) | 文件系统挂载点 | 让容器拥有独立的根文件系统视图，看不到宿主机的文件树 |
| UTS | 主机名和域名 | 使容器可以有自己的 hostname，例如 nginx-container |
| IPC | System V IPC 和 POSIX 消息队列 | 防止容器之间通过共享内存或信号量意外干扰 |
| PID | 进程 ID 编号空间 | 容器内的进程看到自己的 PID 从 1 开始，且只能看到本容器内的进程 |
| Network (net) | 网络设备、IP 地址、端口、路由表、防火墙规则等 | 为每个容器提供独立的虚拟网卡、IP、端口空间，实现网络隔离 |
| User | 用户 ID 和组 ID 映射 | 可以将容器内的 root 映射为宿主机上的普通用户，增强安全性 |
| Cgroup | 控制组（cgroup）文件系统视图 | 结合 cgroup 限制资源用量，让容器只看到自己的资源限制 |
| Time | 系统时间（CLOCK_MONOTONIC、CLOCK_BOOTTIME） | 允许容器拥有自己可调整的时钟（Linux 5.6+） |
一个典型的容器启动时，会同时创建上述 Namespace 中的若干个（例如 Docker 会创建 mnt、uts、ipc、pid、net 等），从而为容器构筑出一道道看不见的隔离墙。
2. 动手看效果：用 unshare 体验隔离
unshare 命令可以让我们手工创建 Namespace 并运行一个子进程，直观感受隔离的效果。以下是一个简单的 PID Namespace 演示：
# 创建新的 PID namespace，并在其中运行 bash
sudo unshare --pid --fork --mount-proc bash在这个新的 bash 中执行 ps aux，你会看到只有寥寥几个进程，且当前 bash 的 PID 就是 1。而退出这个 shell 回到宿主机后，再执行 ps 就能看到全部进程。这就是 PID 隔离的作用——进程号空间被隔离了，新命名空间内的 1 号进程并非宿主机的 init 进程。
再看一个 Mount Namespace 的实用例子。下面的命令会在新的挂载命名空间里将一个临时目录挂载到 /mnt，但这个挂载完全不影响宿主机：
# 在当前 shell 创建一个临时目录和文件
mkdir /tmp/ns-demo && echo "Hello from ns" > /tmp/ns-demo/file.txt
# 启动一个新的 mount namespace，并将临时目录绑定挂载到 /mnt
sudo unshare --mount bash
mount --bind /tmp/ns-demo /mnt
ls /mnt # 能看到 file.txt此时在另一个终端（宿主机命名空间）中查看 /mnt，是看不到这个挂载的。这就实现了文件系统视图的隔离。
3. 容器就是 Namespace 的集合体
在实际使用中，像 Docker 这样的容器引擎，其实就是自动调用系统调用 clone()（搭配 CLONE_NEW* 标志）或 unshare() 来为一组进程同时创建多种 Namespace，从而拼装出一个封闭的运行环境。例如：
- 当一个 Docker 容器启动时，Docker daemon 会为容器创建独立的 PID、Network、Mount、UTS、IPC 等 Namespace；
- 配合
pivot_root（切换根文件系统）和镜像分层技术，容器就拥有了自己的文件系统和网络栈； - 再叠加 cgroup 限制 CPU/内存，容器就做到了既隔离又可控。
你可以用 lsns 命令查看系统中当前的 Namespace 实例，也可以用 ls -l /proc/<PID>/ns/ 查看某个进程所属的各个 Namespace 引用（符号链接指向一个唯一的 Namespace ID）。例如：
# 列出系统中所有 namespace
lsns
# 查看容器的第一个进程（PID 为 1234）的 namespace 信息
sudo ls -l /proc/1234/ns输出中会包含诸如 net:[4026532192] 这样的标识，括号内的数字就是 Namespace 在内核中的唯一编号，共享同一个编号的进程就属于同一个隔离环境。
4. 不可不知的安全要点
虽然 Namespace 提供了强隔离，但并不是完整的安全沙箱：
- 默认的 User Namespace 映射关系可能很危险：早期版本的 Docker 中容器内 root 用户直接映射为宿主机 root，这导致一旦磁盘等资源被挂载进容器，就可能造成宿主机逃逸。因此，现代实践强烈建议使用 Rootless 模式或通过 User Namespace 将容器 root 映射为宿主机普通用户。
- 共享内核：Namespace 只隔离资源视图，所有容器仍共享同一个内核。某个容器触发的内核崩溃会影响宿主机，这与虚拟机完全不同。
- 配置复杂的 /proc 和 /sys：启动容器时需要小心挂载
/proc和/sys的方式（例如--pid时配合--mount-proc，避免泄露宿主机信息），否则容器内仍可能通过某些接口看到宿主机信息。
总的来说，Namespace 作为资源隔离的基石，让 Linux 具备了原生运行“轻量级虚拟化”的能力。理解它的原理和限制，是管理好容器、排查环境故障以及构建安全架构的必备知识。