你问的这几个概念其实正好构成了 OCI 容器运行的完整链路。我按“从文件 → 运行”的顺序给你拆清楚，并重点对比你关心的：runc vs 直接执行 binary。

一、先建立整体图（最关键）

OCI Image
   ↓（umoci / 自己实现）
rootfs（文件系统）
   ↓ + config.json
OCI Runtime Bundle
   ↓（runc）
容器进程（隔离环境）

二、逐个概念解释

1️⃣ rootfs（root filesystem）

👉 本质就是：

一个解压后的 Linux 文件系统目录

比如：

rootfs/
 ├── bin/
 ├── lib/
 ├── usr/
 ├── etc/
 └── app/your_binary

它来自哪里？

👉 来自 OCI 镜像的 layers 解压

📌 类比：

• rootfs ≈ 一个“最小 Linux 系统目录”
• 类似你 chroot 进去的环境

2️⃣ OCI Runtime Bundle

👉 这是 OCI 标准定义的“运行单位”

结构固定：

bundle/
 ├── rootfs/
 └── config.json

config.json 是核心

定义了：

• 进程怎么启动（args）
• 环境变量
• 挂载点
• namespace（隔离）
• cgroup（资源限制）

📌 可以理解为：

👉 rootfs = 文件
👉 config.json = 运行说明书

3️⃣ umoci

👉 作用：

把 OCI image 转换成 runtime bundle

比如：

umoci unpack --image myimage bundle/

它会做：

• 解压 layers → rootfs
• 生成 config.json

📌 本质：

👉 umoci = “镜像 → 可运行目录”

4️⃣ runc

👉 作用：

根据 bundle 启动容器

runc run mycontainer

它做的事情非常关键 👇

三、runc 到底做了什么（核心区别）

runc ≠ 执行 binary
runc = 创建“隔离环境” + 执行 binary

runc 内部做的事：

1️⃣ namespace 隔离

• PID namespace（看不到宿主进程）
• mount namespace（独立文件系统）
• network namespace（独立网络）

2️⃣ chroot / pivot_root

👉 把 rootfs 变成“/”

容器内看到的 /
就是 rootfs/

3️⃣ cgroups（资源控制）

• CPU 限制
• 内存限制
• IO 限制

4️⃣ 挂载（mount）

• /proc
• /dev
• bind mounts

5️⃣ 最后才执行 binary

execve("/app/your_binary")

四、核心对比：runc vs 直接执行 binary

这是你最关键的问题 👇

✅ 直接执行 binary（LocalAI 风格）

exec.Command("./llama.cpp")

特点：

• ❌ 无隔离
• ❌ 使用宿主机文件系统
• ❌ 无资源限制
• ❌ 共享网络 / 进程空间

👉 就是普通进程

✅ runc 运行

runc run container

特点：

• ✅ 独立 rootfs（看不到宿主机）
• ✅ namespace 隔离
• ✅ cgroup 限制
• ✅ 更安全

👉 是“容器进程”

五、一个直观类比

直接执行 binary：

在你当前 Ubuntu 上运行程序

runc：

给你创建一个“新的迷你 Linux 世界”
你在里面运行程序

六、为什么 LocalAI 不用 runc？

结合你前面的问题：

👉 因为它只需要：

拿到 binary → 运行

而不需要：

• 隔离
• sandbox
• 多租户

七、什么时候必须用 runc？

这些场景就必须用：

1️⃣ 多租户执行（安全）

• SaaS 平台
• 用户提交任务

2️⃣ 任务隔离

• pipeline 执行（你这个场景可能需要）

3️⃣ 资源控制

• 防止任务吃光内存

八、你当前场景的建议（很重要）

你在做：

生信 pipeline / Nextflow / 调度系统

推荐架构：

🚀 方案 1（简单高效）

Go 调度器
 └── exec binary（像 LocalAI）

✔ 性能最好
❌ 无隔离

🚀 方案 2（推荐）

Go
 └── containerd / runc
      └── 容器运行任务

✔ 可控
✔ 安全
✔ 标准化

🚀 方案 3（折中）

Go
 ├── 小任务 → 直接 exec
 └── 用户任务 → runc

九、一句话总结

👉 rootfs = 解压后的系统文件
👉 bundle = rootfs + config.json
👉 umoci = 生成 bundle
👉 runc = 在隔离环境中执行程序

👉 最大区别：runc 提供“容器隔离”，直接 exec 没有

如果你想，我可以给你一个：

✅ “手写 OCI bundle + runc 启动 busybox” 的最小 demo
（能让你彻底理解整个链路）