导读：本期聚焦于杨子江创作的《如何让容器正确信任私有 CA 证书？》，敬请观看详情。私有 CA 签发的内部接口证书在容器里频繁报 x509 unknown authority，排查到最后往往不是证书链不对，而是基础镜像没有把企业根证书放进系统信任库。容器镜像的文件系统是构建时固化的，宿主机安装的私有 CA 不会自动继承；运行时挂载证书后，如果镜像内的证书索引没有重新生成，应用照样不认。文章先拆解容器信任链与虚拟机的差异，然后用 Dockerfile 示例演示 Debian、Ubuntu、Alpine 三种基础镜像如何正确加入私有 CA，以及 Kubernetes 通过 Secret 挂载并执行 update-ca-certificates 的落地方式。针对 Java 独立 cacerts、Go 的 SSL_CERT_FILE 和 Python 的 certifi 等运行时差异，分别给出处理建议。最后补充证书轮换、中间 CA 隔离和镜像扫描等安全实践，避免私钥误入镜像。文章提供了可直接复制到 CI/CD 的构建片段和验证命令。
导读：本期聚焦于下班再修创作的《如何将语义角色标注SRL服务容器化部署？》，敬请观看详情。语义角色标注模型在训练环境跑得好好的，一到生产环境就频繁出现依赖冲突和推理性能不稳定的问题。与其反复折腾服务器环境，不如把整个SRL推理链路打包进容器。本文从实际部署角度出发，介绍用Docker封装SRL服务的完整流程，包括模型文件组织、推理接口设计、镜像构建以及资源限制策略。通过容器化，模型依赖与宿主机解耦，团队可以在任意支持Docker的机器上复现一致的运行环境。同时文章会给出一个基于FastAPI的轻量推理服务示例，并说明如何控制内存占用、调整并发参数、借助健康检查提升服务可用性。读完可以快速上手，将已有的SRL模型稳定交付到生产或测试集群。
导读：本期聚焦于郑钧天创作的《为什么Docker容器中中文显示为乱码问号？如何快速修复？》，敬请观看详情。容器化应用输出中文时，控制台出现问号、菱形问号或方格，大多不是程序缺陷，而是容器的locale与字符编码没有正确配置。许多基础镜像为了减小体积，默认不带任何中文字符集，导致Java、Python、Go等程序在打印中文或处理含中文的文件时出问题。要彻底解决，需要理解字符集与locale的关系：程序先根据locale决定使用哪种字符编码，容器若未安装对应locale，就可能退化到ASCII，从而产生乱码。本文从原理出发，介绍通过安装locales包、设置LANG与LC_ALL环境变量、以及在Dockerfile中固化配置的方法，同时讲解如何验证设置是否生效，并针对Alpine、Debian、CentOS等不同基础镜像给出具体命令。还会涉及MySQL、Nginx等服务的字符集参数，避免只改系统locale但应用仍乱码的情况。掌握这些步骤后，可以一次性解决容器内的中文显示与存储乱码问题。
栏目：Docker 时间：10-15 Docker中文乱码
导读：本期聚焦于林则安创作的《如何用 Node Exporter 配合 cAdvisor 实现容器资源监控？》，敬请观看详情。把 Node Exporter 直接扔进容器里，就能拿到容器级别的 CPU 和内存数据吗？答案是否定的。Node Exporter 的设计目标是从 /proc 和 /sys 文件系统读取宿主机的硬件、内核与系统级指标，它并不理解容器、cgroup 或 namespace 的概念。因此即便在容器里启动，看到的还是宿主机的整体数据，而不是单个容器的资源用量。要想构建完整的容器监控体系，通常需要分层采集：Node Exporter 负责节点层面的 CPU、内存、磁盘、文件系统和网络等指标，cAdvisor 负责每个容器的 CPU、内存、网络、文件系统用量，Prometheus 再统一抓取并关联。本文会从原理层面解释 Node Exporter 的边界，给出宿主机与容器两种部署方式，并通过 Docker Compose 和 prometheus.yml 示例说明如何同时采集二者数据，最后提供几条实用的告警规则。读完可以明确判断在容器监控栈中 Node Exporter 该放在哪一层。
栏目：Docker 时间：10-15 Node Exporter
导读：本期聚焦于长沙GEO公司创作的《如何在OpenWrt路由器上安装Docker？详细分析与解答都在这里》，敬请观看详情。路由器上直接运行容器化应用，听起来像软路由玩家的终极玩法。但真正动手时，容易卡在内核模块和存储驱动这两道坎上：OpenWrt 的默认内核并不总是带齐 Docker 所需的 veth、bridge、cgroups 等能力，存储空间也不像服务器那样宽裕。本文会从实际部署角度出发，先说明 x86_64、ARM64 等架构的适用性，再给出通过 opkg 安装 dockerd 的完整命令，包括依赖安装、服务启动和 daemon 配置。随后重点解释 overlay2 与 vfs 两种存储驱动的取舍，以及桥接网络和防火墙放行规则。最后整理安装失败、容器无网络、内存不足等常见问题的排查思路。整个过程以命令行为主，适合已经刷好 OpenWrt 并具备基本 SSH 操作经验的用户，帮助你在路由器上稳定跑起第一个容器。
栏目：Docker 时间：10-15 OpenWrt安装Docker
导读：本期聚焦于书生创作的《容器内出现大量僵尸进程怎么办？彻底搞懂原理与解决方案》，敬请观看详情。容器里偶尔会冒出一些状态为Z的僵尸进程，虽然不占CPU和内存，但数量多了会耗尽PID资源，导致新进程无法创建。这个问题背后其实是Linux进程回收机制和容器PID 1的特殊性共同作用的结果。僵尸进程的产生是因为子进程退出后，父进程没有调用wait系列函数回收其退出状态，内核只能保留进程描述符等待父进程处理。在传统宿主机上，init进程会接管所有孤儿进程并负责回收，但容器内的PID 1往往就是你的业务进程，如果它不具备这种能力或者没有正确处理SIGCHLD信号，僵尸进程就会不断累积。解决思路大致有三类：让容器内的PID 1成为一个真正的init系统，例如使用tini或dumb-init；在应用代码中显式处理SIGCHLD信号并调用wait；或者通过Docker的--init参数直接启用内置的init进程。理解这些机制后，你就能根据自己应用的场景选择最合适的方案，彻底告别僵尸进程困扰。
导读：本期聚焦于唐振业创作的《如何将 DreamFusion 文本生成3D服务容器化并稳定部署？》，敬请观看详情。把一个需要数十GB显存和复杂编译链的3D生成模型封装成容器镜像，最麻烦的不是写Dockerfile，而是让CUDA、PyTorch和扩展算子在同一个基础环境里稳定共存。本文围绕DreamFusion这类基于分数蒸馏的文本到3D生成服务，拆解从镜像选型、依赖安装、构建加速到GPU运行时配置的全过程。内容会覆盖NVIDIA Container Toolkit的启用方式、共享内存与显存限制、FastAPI接口封装，以及Docker Compose和Kubernetes场景下的部署要点。镜像制作过程中容易忽略的版本匹配、编译缓存和运行参数都会给出可以直接落地的配置示例，帮助你把实验室代码变成可调度、可扩容的生产服务。
导读：本期聚焦于印尼程序员创作的《如何在 Docker 中高效运行 WASM 模块？》，敬请观看详情。WebAssembly 最初为浏览器而生，但 WASI 的出现让它获得了脱离浏览器的系统接口能力。Docker 生态在 containerd 层面集成了 runwasi 项目后，容器运行时可以直接调度 WasmEdge、wasmtime 等 WebAssembly 运行时，从而启动 WASM 模块。这意味着同一个 Docker 命令体系可以管理传统 Linux 容器和体积更小、启动更快的 WASM 应用。运行 WASM 模块前需要理解 OCI 镜像如何携带 .wasm 文件，以及平台标注 wasi/wasm 的作用。实际操作中可通过 docker run --runtime=io.containerd.wasmedge.v1 这类方式指定运行时，或者使用 Docker Desktop 的内置支持。WASM 容器在冷启动速度、内存占用和跨平台一致性上具备明显优势，但系统调用能力仍受 WASI 限制，适合计算密集型、边缘侧和插件类场景。本文结合具体命令与代码示例，说明从编译、打包到运行 WASM 模块的完整流程。
导读：本期聚焦于小何创作的《Pulumi 如何用声明式方式管理容器基础设施？》，敬请观看详情。容器平台团队经常被两套割裂的配置体系困扰：Helm Chart 能描述工作负载，却很难把 VPC、节点池、镜像仓库等周边资源纳入同一份代码；Terraform 能管云资源，面对 Kubernetes 自定义资源又显得笨重。Pulumi 用通用编程语言把二者拉到同一条流水线里，所有资源都通过声明式对象描述，再由引擎计算依赖并执行变更。本文从 Pulumi 的声明式模型入手，拆解它与 Kubernetes YAML、Helm 的差异，演示如何用 TypeScript 定义 Deployment、Service 和云负载均衡，并讨论状态管理、测试策略以及从 Terraform 迁移时的常见坑。核心结论是：声明式不等于只能写静态配置，循环、条件、函数让容器基础设施更可复用，同时保留预览和审计能力。
导读：本期聚焦于不吃香菜创作的《如何在公共卫生领域高效使用Docker实现可复现的数据分析环境》，敬请观看详情。流行病学调查往往需要在不同机构间快速共享分析脚本和数据清洗流程，但传统环境配置里的R包版本冲突、Python依赖缺失、地理信息系统库编译失败等问题常常让协作陷入停滞。容器化技术恰好切中了这个痛点：把整个分析运行环境连同操作系统底层依赖一起打包，任何一台装了Docker的机器都能拉取镜像后直接运行，结果完全一致。本文不堆砌概念，而是从实际公共卫生项目出发，演示如何用Dockerfile构建一个包含R、Python和常用空间分析库的基础镜像，如何利用docker compose编排数据库加分析容器的组合，以及如何把训练好的流行病学模型封装成API服务供前端仪表盘调用。重点讨论镜像分层构建、数据卷挂载、环境变量注入和健康检查这几个对生物统计团队最实用的技巧。
Nginx HTTP/2 Server Push 推送资源最大尺寸如何配置？
