更新 Namespace/Gateway API/nftables/DCT 退役时间线

- ch12: 添加 TIME namespace (Linux 5.6+)，内核 namespace 类型从 7 更新为 8
- ch12: 补充 Docker Engine v29.x 实���性 nftables 支持
- ch13: Ingress-NGINX 退役通知，添加 Gateway API 推荐方案和示例
- ch13: 添加 Pod Security Standards 章节（替代已移除的 PSP）
- ch18: 补充 DCT 退役时间线（2028-03-31 完全移除）和迁移建议

18_security/18.6_image_security.md

@@ -270,7 +270,16 @@ cosign verify myregistry.com/myapp:v1.0.0 \
 
 #### Docker Content Trust 与 Notary
 
-Docker Content Trust 使用 Notary 实现镜像签名，是 Docker 官方的签名解决方案。
+> **注意：DCT 退役时间线**
+>
+> Docker 已宣布[退役 Content Trust](https://www.docker.com/blog/retiring-docker-content-trust/)。关键节点：
+> - 2025 年 8 月起：最早一批 DCT 签名证书开始过期
+> - 2025 年 9 月 30 日起：新注册表不可再启用 DCT
+> - **2028 年 3 月 31 日**：DCT 完全移除，所有 DCT 数据永久删除
+>
+> 建议新项目直接使用上文介绍的 **Cosign (Sigstore)** 进行镜像签名；现有 DCT 用户应尽早制定迁移计划。
+
+Docker Content Trust 使用 Notary 实现镜像签名，是 Docker 官方的传统签名解决方案。
 
 **启用 DCT：**