journald管「全量采集 + 高速检索」，rsyslog管「分类归档 + 文本存储」默认 journal 日志存在内存，重启就丢，必须配置才会持久化到磁盘排查实时问题用journalctl，回溯历史问题看/var/log下的文本日志。

如果没有 initramfs 的支撑，内核启动后根本无法识别系统盘，直接卡在 “找不到根文件系统” 的致命阶段。很多人对 “内核启动” 有基础认知，却极易忽略 initramfs（临时初始化文件系统）的核心作用，甚至系统启动失败后，都想不到问题根源出在这里。新手重置 root 密码时，往往只记得核心的 “改密码” 步骤，却忽略 SELinux 安全上下文的自动重标记，导致重启后密码修改无效、无法登

kubelet 只负责 "我要启动一个容器"，至于底层用什么运行时、怎么启动，kubelet 完全不关心，只要你符合 CRI 标准，就能对接，这也是 K8s 能支持这么多容器运行时的原因。这也是容器为什么这么轻量的原因：容器不是虚拟化，它就是一个被内核隔离、限制的普通进程，所有能力都是内核早就有的，Docker/CRI-O 只是把这些能力打包成了好用的工具而已。runc 启动完容器内的进程之后，容

CD 工具（比如 Argo CD、Jenkins）从 Harbor 拉取更新 K8s 的 Deployment YAML，把镜像版本改成K8s 收到更新请求后，执行滚动更新拉取新镜像创建新 Pod，启动容器销毁旧 Pod确保最终运行的 Pod 数量符合期望这里 K8s 只做「运行容器」的事，完全不关心镜像怎么来的。K8s 是「容器的运行平台」，不是「代码的构建平台」。它只负责运行已经打包好的容器，

完整标签键（冒号前）值（冒号后）用途versionv1.1.0标记应用版本releasestable标记版本状态（正式版 / 测试版）env: devenvdev标记运行环境（开发 / 生产）app: nginxappnginx标记应用名称标签是key: value的键值对，冒号前是「分类的维度（键）」，冒号后是「分类的具体值（值）」；键分「可选前缀 + 必须名称」，值规则宽松，核心作用是给资源打

Pod 一直卡 Init？别慌，查看 Init 容器的日志，看看初始化任务哪里出错了，改了就好。进入容器改了内容，重启就没了？因为你改的是容器的临时可写层，镜像本身没变，容器重建就会丢，要永久改的话，要么改镜像，要么用持久化存储。Pod 删了又回来？大概率是静态 Pod，别用 kubectl 删了，去节点上把配置文件删掉才行。别啥容器都往一个 Pod 里塞！只有紧密耦合的才放一起，独立的程序分开做

为什么要用低权限 mysql 用户运行服务：防止 MySQL 服务被入侵后，攻击者直接拿到服务器 root 权限，是生产环境的标准安全规范。下创建服务文件的软链接，系统进入多用户运行模式时，自动启动该目录下的所有服务。：多版本容易冲突，升级回滚困难，不符合生产环境「可回滚、可追溯」的运维原则。为什么客户端也要配置 socket 路径：MySQL 客户端默认查找。：保留字冲突、废弃函数与语法、旧时间

eBPF技术概述与应用实践 摘要：eBPF（Extended Berkeley Packet Filter）是一种革命性的内核可编程技术，能够在无需修改内核源码的前提下安全高效地扩展内核功能。本文系统梳理了eBPF的核心原理与技术架构，包括：1）技术演进历程，从经典BPF网络包过滤发展到通用内核虚拟机；2）核心工作机制，基于验证器、JIT编译器和辅助函数实现安全沙箱；3）典型应用场景，覆盖性能观测

为什么要用低权限 mysql 用户运行服务：防止 MySQL 服务被入侵后，攻击者直接拿到服务器 root 权限，是生产环境的标准安全规范。下创建服务文件的软链接，系统进入多用户运行模式时，自动启动该目录下的所有服务。：多版本容易冲突，升级回滚困难，不符合生产环境「可回滚、可追溯」的运维原则。为什么客户端也要配置 socket 路径：MySQL 客户端默认查找。：保留字冲突、废弃函数与语法、旧时间

操作差异记1点：GPT创建分区时可以给分区起名字（如mkpart usersdata xfs 2048s 1000MB），MBR不能起名，只能选primary（主分区）或logical（逻辑分区）。创建Swap后忘记激活，或者没写入fstab，导致重启后Swap失效；：创建分区时，开始位置固定填2048s（2048个扇区），这是标准的分区对齐方式，能最大化硬盘性能，不用记其他数值，直接用2048s