扫描器不挑站，按清单挨个试：xmlrpc、用户枚举、弱口令、过时插件。加固不是堵死每一项，而是提高尝试成本、缩短被发现的时间。

容器只是命名空间，不是沙箱。实际事件里绝大多数逃逸不是 0day，而是 compose 里多写的那一行。

四次著名事件，技术细节不同，模式一致：信任建立在人身上，而不是代码上。防御的目标不是零风险，而是缩短暴露窗口。