运行时与基础设施

说明沙箱怎样限制不可信代码访问文件、进程、网络和资源，并比较虚拟机、容器、用户态内核与系统调用过滤的边界。