随着云计算的发展,容器技术已经被广泛地使用。然而与传统虚拟化技术相比,容器技术没有提供硬件模拟和指令解释,而是多个容器共享系统内核,这在带来性能提升的同时,也为系统的安全性带来了巨大的挑战。而如何保障文件的安全访问则成为了容器安全问题的重中之重。尽管目前已有许多方案为容器的文件安全性进行增强,如利用Linux原生的App Armor在内核态通过字符匹配进行访问控制,g Visor利用Gofer管理器在用户态阻绝非法的文件访问。但这些方案在增强文件访问安全性的同时,都给容器带来了不少性能上的损耗,无法同时满足容器在文件访问安全性与高性能上的需求。针对上述问题,基于Linux模块化的系统架构,设计并实现了一套基于索引节点（inode）虚拟化的文件访问控制机制,并命名为Vinode。对于每个容器,Vinode只提取文件访问控制所必需的inode号和权限信息,在模块中虚拟化inode,并通过标识来过滤不必要的访问控制。在启动容器时,Vinode以Linux内核模块的形式被加载,并且根据设定的权限检测规则,虚拟化相应文件的inode。在容器访问文件时,运行于内核态的控制机制则会根据虚拟化的inode信息,对访问权限进行强制检测,从而实现对不同容器内单一文件、目录下全体文件的细粒度访问控制。实验结果表明,该机制仅给容器的启动、停止、移除带来了1-2%的性能开销。在文件操作方面,该机制比g Visor方案有1-10倍的性能提升。而与App Armor方案相比,在常规文件操作上,该机制均有5%以上的性能提升,而对于statx、read、write系统调用上的性能提升则高达27.38%、8.96%、9.37%。