namespace 管可见性，cgroup 管用量。cgroup（控制组）给一组进程设资源上限：CPU 份额、内存上限、PID 数量、设备访问、网络带宽。容器跑超了，cgroup 负责限流、回收或杀死，而不是让它无限吃宿主机资源。 安全意义有两层。一是资源耗尽防护：单个容器内存泄漏或被打爆，不会拖垮整台节点，前提是上限真的配了。二是攻击面收缩：cgroup 可以限制设备节点访问、限制可创建的进程数，配合 seccomp、AppArmor/SELinux 进一步收窄。常见缺陷是只做了 namespace 隔离，没配 cgroup 上限，容器异常直接冲击节点，为逃逸和拒绝服务递条件。