绑 80 端口要 root、ping 要 setuid——特权就该这样粗粒度吗？本篇讲透 capabilities 把 UID 0 拆成 38 项特权的设计、permitted/effective/inheritable/bounding/ambient 五个集合的运算规则、文件能力与 ping 的进化史、容器 --cap-drop 的经济学，以及 setcap 后动态库失效等三个高频坑。

拆解 Linux 调度器的「类」架构：五个调度类的优先级链条、实时策略的边界、nice 权重的数学本质与 RT throttling 这道保险丝。