7.3 以 Rust 打造微型 Docker 執行器#

$ sudo mini-docker run alpine:latest echo hello
hello

alpine:latest
├── manifest.json           # 描述有哪些層
├── sha256:xxx/layer.tar    # 每層：該層對根檔案系統的「差異」
│                           #   （新增/修改/刪除的檔案）
└── sha256:yyy/config.json  # 進入點、環境變數、工作目錄

// src/image.rs
use std::fs;
use std::process::Command;

pub struct LayeredRootfs {
    pub root: String,        // 合併後的容器根
    pub upper: String,       // 可寫層
    pub work: String,        // overlayfs 工作目錄
}

/// 下載映像並解出各層（簡化：假設已有 layers/ 目錄含解壓好的層）
pub fn prepare_rootfs(name: &str, layers: &[String]) -> std::io::Result<LayeredRootfs> {
    let base = format!("/var/lib/mini-docker/{name}");
    fs::create_dir_all(format!("{base}/upper"))?;
    fs::create_dir_all(format!("{base}/work"))?;
    fs::create_dir_all(format!("{base}/merge"))?;

    let lower = layers.iter().cloned().collect::<Vec<_>>().join(":");
    // overlayfs 的底層序列 = 映像的分層
    let out = Command::new("mount")
        .args([
            "-t", "overlay", "overlay",
            "-o", &format!("lowerdir={lower},upperdir={base}/upper,workdir={base}/work"),
            &format!("{base}/merge"),
        ])
        .output()?;
    if !out.status.success() {
        return Err(std::io::Error::new(std::io::ErrorKind::Other,
            format!("overlayfs mount failed: {}", String::from_utf8_lossy(&out.stderr))));
    }
    Ok(LayeredRootfs {
        root: format!("{base}/merge"),
        upper: format!("{base}/upper"),
        work: format!("{base}/work"),
    })
}

// src/executor.rs — youki 風格的容器執行序列
use crate::{cgroup, image::LayeredRootfs};
use std::path::Path;

pub struct ContainerSpec {
    pub image_layers: Vec<String>,
    pub cmd: Vec<String>,          // 例 ["echo", "hello"]
    pub cgroup: cgroup::CgroupSpec,
}

pub fn run(spec: ContainerSpec) -> std::io::Result<()> {
    // 1. 準備聯合檔案系統
    let rootfs = crate::image::prepare_rootfs("run", &spec.image_layers)?;

    // 2. clone 進 namespace（7.2 節的函式）
    let pid = crate::mini_container::run_in_namespaces(move || {
        // 以下在新 namespace 內執行，此時我們是 PID 1、還是 root

        // 3. pivot_root：把 overlayfs 根變成真正的 /
        //    （比 chroot 強：舊根被完全卸載，無法逃回）
        do_pivot_root(&rootfs.root);

        // 4. 掛上容器內的 /proc /dev
        mount_pseudo_filesystems();

        // 5. drop capabilities：保留 BASIC 之外全丟
        //    （真實 youki 在此安裝 seccomp BPF 過濾器）
        // drop_capabilities();

        // 6. exec 使用者命令——execve 不 fork，直接替換本行程
        let c: Vec<std::ffi::CString> = spec.cmd.iter()
            .map(|s| std::ffi::CString::new(s.as_str()).unwrap())
            .collect();
        unsafe {
            libc::execvp(c[0].as_ptr(), c.as_ptr() as *const *const libc::c_char);
        }
        // exec 失敗才會到這裡
        std::process::exit(127);
    })?;

    // 7. 把容器行程放進 cgroup（在父行程側設定）
    let cg = cgroup::Cgroup::create("mini-docker", spec.cgroup)?;
    cg.attach(pid)?;

    // 8. 等待結束，回收（PID 1 之外的正常程序由 wait 收屍）
    let status = unsafe { wait_and_reap(pid)? };
    Ok(())
}

// src/main.rs
use std::process::exit;

fn main() {
    let args: Vec<String> = std::env::args().collect();
    match args.get(1).map(|s| s.as_str()) {
        Some("run") => {
            let cmd = args[3..].to_vec();
            let spec = executor::ContainerSpec {
                image_layers: pull_image(&args[2]),   // 拉映像（解 tar、分層）
                cmd,
                cgroup: cgroup::CgroupSpec {
                    cpu_quota_us: 100_000, cpu_period_us: 100_000,   // 1 CPU
                    memory_max: 512 * 1024 * 1024,
                    pid_max: 256,
                },
            };
            if let Err(e) = executor::run(spec) {
                eprintln!("mini-docker: {e}");
                exit(1);
            }
        }
        _ => {
            eprintln!("usage: mini-docker run <image> <cmd>...");
            exit(2);
        }
    }
}

# 編譯
cargo build --release

# 對照組：真 Docker
docker run alpine echo hello

# 我們的
sudo ./target/release/mini-docker run alpine echo hello

# 觀察：容器內外互相看不見
sudo ./target/release/mini-docker run alpine sh -c "ps aux; hostname"
# → 只有一個 PID 1 的 sh，hostname 是我們設定的