用 namespace 与 cgroups 亲手拼出一个最小可用的容器，回头对照 Docker 的每个概念。

看懂 namespace、cgroups、veth、iptables 与 overlayfs 各自在哪一层做了什么。

给容器划出 CPU 与内存的上限，并弄清一个容器为什么还能把宿主机拖垮。

把容器关进笼子：以非 root 运行、裁剪 Linux 能力、限制系统调用，并知道这些边界在哪。

方法出错只有三种结局：就地解决、把问题往上交、直接崩掉。Java 的做法是抛出一个异常对象——它带着「出了什么事」和「在哪里出的」，沿调用栈往上一层一层找处理者。

手敲给出5个案例，辅助读者理解

二十岁生日这天，谨以此篇文章回望过去并展望下一个十年

想给一个 Employee[] 排序，用 Arrays.sort 就行。但通用排序代码怎么知道两个 Employee 谁在前？它是 JDK 里的通用代码，不可能认识 Employee。