非root容器最小权限配置总览
从镜像用户到集群准入的权限收敛路径
镜像构建
固定UID
目录属主
运行时约束
runAsNonRoot
drop ALL
只读根文件系统
准入治理
策略阻断
持续审计
目标：入侵后也难以写入、提权、横向移动