他先刮胡子。拿着那面上世纪八九十年代的塑料镜，对着下巴一遍遍推。泡沫刮干净后，又用毛巾擦脸，顺手把原本就锃亮的光头再擦了一遍。
Seccomp-BPF inside the namespace — blocking syscalls like clone3 (preventing nested namespace escape), io_uring (force fallback to epoll), ptrace, kernel module loading
，这一点在safew官方版本下载中也有详细论述
1. 根据数据范围创建若干个桶
Author(s): Marco Seiz, Tomohiro Takaki