Docker 沙箱通过命名空间和控制组实现进程、文件系统、网络和资源的隔离，但容器逃逸漏洞依然存在，并非绝对安全。