runsc 默认拦截约200个syscall（如openat、read、write、socket、clone），而getpid等无副作用调用直接透传；未启用的syscall（如membarrier）会导致enosys错误，需通过–syscalls参数显式配置。
runsc 默认拦截哪些 syscall？
gVisor 的 runsc 不是全量拦截所有系统调用，而是按容器工作负载动态启用子集。默认配置下，它只拦截约 200 个 syscall（linux x86_64 上），比如 openat、read、write、socket、clone 这类高风险或需沙箱语义的调用；而像 getpid、gettimeofday、nanosleep 这类无副作用或纯读取型调用，直接透传给宿主内核，不进 gVisor 的 trap 处理路径。
常见错误现象：某些程序启动失败并报 ENOSYS（function not implemented），往往是因为它用了未被默认启用的 syscall（如 membarrier 或 copy_file_range），而你没在 runtime 配置里显式开启对应特性。
- 可通过
runsc --debug --strace启动容器，观察哪些 syscall 被拦截、哪些被拒绝或透传 - 拦截列表由
pkg/sentry/syscalls中各 arch 的syscalls.go定义，但用户不应手动改源码——应通过配置控制 -
--platform=kvm模式下拦截更少（KVM 辅助加速），而--platform=ptrace拦截最多、开销最大
如何增减 syscall 拦截范围？
靠 runsc 的 --sysctl 和 --platform 不行，真正起作用的是 --rootless、--network 等高级开关背后隐含的「personality」配置，以及显式的 --syscalls 参数（v2023+ 支持）。
使用场景：调试 rust 程序时遇到 epoll_pwait2 报 ENOSYS；或运行 Java 应用因 membarrier 缺失导致 GC 卡顿。
- 新增单个 syscall：
runsc --syscalls='{"epoll_pwait2": {"action": "intercept"}}' run mycontainer - 禁用某拦截（强制透传）：
"openat": {"action": "passthrough"}—— 但慎用，可能破坏隔离性 - 配置文件方式更稳妥：在
config.json的runtimeArgs下加"--syscalls"字段，避免命令行过长 - 注意：添加非标准 syscall 可能触发 gVisor 内部 panic，尤其涉及线程模型（如
clone3）或内存管理（如userfaultfd）的调用
syscall 拦截数量对性能的实际影响有多大？
不是线性关系。增加拦截 syscall 数量本身开销极小（只是 trap 表查表），真正拖慢的是拦截后进入 Sentry 的处理路径：比如 read 要走 VFS 层模拟、socket 要进 netstack、clone 要调度 goroutine 模拟线程——这些才是瓶颈。
性能差异主要出现在三类场景：
- I/O 密集型（如 nginx 静态文件服务）：
read/write拦截带来 ~15–30% 吞吐下降，因绕过 page cache、无零拷贝 - 网络密集型（如 Envoy）：启用
netstack后sendto/recvfrom拦截使 P99 延迟抬高 2–5x，尤其小包场景 - CPU 密集型（如 Python 计算脚本）：几乎无影响，因为多数 syscall 是透传的，Sentry 不参与计算
一个常被忽略的点：频繁触发未拦截 syscall 的 ENOSYS 错误，会导致应用反复 fallback、重试甚至崩溃，这种“错误路径开销”有时比拦截本身更伤性能。
怎么判断当前 workload 是否被 syscall 拦截拖累了？
别猜，用 runsc --strace 或 perf record -e 'syscalls:sys_enter_*' -p $(pgrep runsc) 看实际 syscall 分布。重点不是“拦截了多少”，而是“哪些被高频拦截且处理路径深”。
典型信号：
- top 里
runsc进程 CPU 占用持续 >70%，但容器内应用 CPU 很低 → Sentry 在忙于处理 syscall -
strace -f -p $(pgrep runsc)显示大量read返回值很小（如每次只读 4KB）、伴随频繁lseek→ 文件访问模式触发了低效路径 - 容器启动慢，且
runsc --debug --log-level=debug日志中反复出现Failed to handle syscall→ 某些关键 syscall 被拒，应用在死循环 retry
最麻烦的情况是：你加了 syscall 拦截以为能修 bug，结果发现它让 netstack 把 TCP ACK 延迟了 200ms——这种跨层副作用，得连着 strace、tcpdump、gVisor trace 一起看才定位得清。