Второй вопрос к контейнеру — от чьего имени работает его процесс. Контейнер writer выгружает данные в каталог ~/share-lab, и этот каталог — твой.
Посмотри, чей файл
В ~/share-lab посмотри файлы, спроси id в контейнере writer и попробуй дописать строку в export.txt.
Сначала предположи
Каталог ~/share-lab — твой. Кто владелец файла export.txt, который записал туда контейнер?
Теперь начни упражнение, выполни команду и сверь прогноз с выводом.
Процессы контейнера работают на том же ядре, что и вся машина, и права к файлам проверяет то же ядро — по числу UID. Без ключей главный процесс контейнера получает UID 0, а для ядра это root машины. Поэтому export.txt принадлежит root, и дописать его ты не можешь.
Тот же UID 0 достанется и тому, кто найдёт уязвимость в программе контейнера: всё, что подключено в контейнер с машины, он сможет менять как root.