该论文研究如何保护容器化工作负载(如 Docker 容器与 Kubernetes Pod)免受中间人(Man-in-the-Middle, MitM)攻击。作者首先指出一个常被忽视的事实：容器化环境虽然提供隔离与编排便利，但其内部工作负载仍然暴露于与非容器环境相同的攻击面，包括钓鱼、应用层漏洞利用以及网络入侵；而容器具有动态调度、生命周期短、东西向流量密集、配置易漂移等特性，使传统边界防护与静态网络策略难以覆盖通信链路上的窃听、篡改与会话劫持风险。方法上，研究采用基于 PRISMA 指南的系统性综述(Systematic Review)，对同一研究主题的既有证据进行检索、筛选与汇总，提取出可复用的成功要素(success factors)；在综述基础上开展设计型研究(design-and-creation)，提出一个面向容器化操作系统的安全框架。该框架的核心包括三部分：一是用于描述通信行为与密码原语的概念模型(conceptual model)，使安全属性可被形式化刻画；二是借助 AnBxJ Java 安全库来实现与验证通信安全；三是部署工作在 OSI 模型第 7 层(应用层)的容器防火墙，将访问控制与检查从网络层提升到应用层，并结合零信任(Zero Trust)架构原则，对通信双方进行持续的身份确认与完整性校验。研究围绕一个核心问题展开：如何有效保护容器化操作系统免受 MitM 攻击。验证部分在一个容器化操作系统场景中成功实现了该安全机制，并识别出实现过程中的成功因素。论文的价值主张是帮助从业者系统化容器安全实践，并为 Docker 与 Kubernetes 部署提供可落地的零信任参考架构。需注意，本文属于综述加设计型研究，重点在方法论与架构层面，摘要中并未给出量化实验结果、性能开销数据或具体攻击面测绘结论，因此结论的可迁移性仍需结合完整论文与实测验证。

本文针对 Docker Hub 容器镜像中普遍存在的安全漏洞、密钥泄露和错误配置问题，提出了一套大规模生态系统测量方法。研究背景是：Docker Hub 是大多数容器部署的底层镜像仓库，一个广泛使用的基础镜像一旦存在缺陷，将被所有基于其构建的镜像继承。此前的研究规模较小，且通常依赖单一扫描器，导致统计结果受工具偏差影响而缺乏可靠性。作者提出了名为 ChimangoScan 的自动化管道：它爬取了 Docker Hub 全部命名空间（共 12,716,568 个仓库，累计拉取次数达 6638 亿次），重建了镜像图层依赖图（包含 5440 万个 IS_BASED_OF 边），设计了一个暴露评分指标——该指标综合镜像自身拉取量及其所有下游镜像的拉取量——将镜像按暴露程度排序，并选取其中暴露程度最高的 52,895 个仓库（占全部拉取量的 84.7%）进行扫描。研究使用了六种独立的扫描器，共产生 1.704 亿条发现。主要结果包括：(1) 漏洞几乎无处不在：96.3% 的镜像存在已知软件包漏洞，93.4% 存在严重漏洞，98.0% 至少有一项 CIS Docker 基准错误配置；(2) 单一工具的报告不可靠：在 8070 万个不同的（漏洞、包）组合中，66.8% 仅被三个漏洞扫描器之一识别，只有 2.7% 被全部三个识别，最好的单个扫描器召回率仅为 66.9%；(3) 密钥检测误报率极高：TruffleHog 在 76.9% 的镜像中标记出密钥，但人工标注 1100 个随机样本发现其中 99.7% 并非真实凭据；(4) 单个 zlib CVE 可传播至 113 万个下游镜像，且这些镜像承载了全部语料暴露量的 47.3%，但暴露程度并不能可靠预测镜像的脆弱性。作者公开了该管道和 283GB 的数据集，为后续研究提供了重要基础。该工作对容器供应链安全、漏洞扫描工具评估和镜像安全基线制定具有重要参考价值。