更新 Namespace/Gateway API/nftables/DCT 退役时间线

- ch12: 添加 TIME namespace (Linux 5.6+)，内核 namespace 类型从 7 更新为 8
- ch12: 补充 Docker Engine v29.x 实���性 nftables 支持
- ch13: Ingress-NGINX 退役通知，添加 Gateway API 推荐方案和示例
- ch13: 添加 Pod Security Standards 章节（替代已移除的 PSP）
- ch18: 补充 DCT 退役时间线（2028-03-31 完全移除）和迁移建议

12_implementation/12.1_arch.md

@@ -101,6 +101,7 @@ flowchart TD
 
 - **Containerd 镜像存储 (Image Store)**：在 v29.x 的新安装场景中默认启用。Docker 直接使用 Containerd 的镜像管理能力，不再维护自己的一套 graphdriver。
   - **优势**：多平台镜像支持更好、镜像拉取更快 (lazy pulling)、与 K8s 共享镜像。
+- **实验性 nftables 支持**：随着主流 Linux 发行版逐步弃用 iptables，Docker v29.x 引入了实验性 nftables 后端。启用方式为 `dockerd --firewall-backend=nftables`，可直接创建 nftables 规则而无需依赖 iptables-nft 转换层。生产环境请谨慎使用。
 
 ---
 

12_implementation/12.2_namespace.md

@@ -28,7 +28,7 @@ flowchart LR
 
 ### 12.2.2 Namespace 的类型
 
-Linux 内核提供了以下几种 Namespace，Docker 容器使用了全部：
+Linux 内核（5.6+）共提供 8 种 Namespace。Docker 容器默认使用其中 7 种（不含 Time）：
 
 | Namespace | 隔离内容 | 容器中的效果 |
 |-----------|---------|-------------|
@@ -39,6 +39,7 @@ Linux 内核提供了以下几种 Namespace，Docker 容器使用了全部：
 | **IPC** | 进程间通信 | 独立的信号量、消息队列、共享内存 |
 | **USER** | 用户/组 ID | 容器内的 root 可以映射为宿主机的普通用户 |
 | **Cgroup** | Cgroup 根目录 | 隔离 cgroup 层级视图 (Linux 4.6+)|
+| **Time** | 系统时钟 | 隔离 CLOCK_MONOTONIC 和 CLOCK_BOOTTIME (Linux 5.6+)|
 
 ---
 
@@ -290,7 +291,7 @@ Namespace 提供了隔离但不是安全边界：
 | 方面 | 说明 |
 |------|------|
 | **共享内核** | 所有容器共享宿主机内核，内核漏洞可能影响所有容器 |
-| **部分资源未隔离** | /proc、/sys 部分内容仍可见；时间无法隔离 |
+| **部分资源未隔离** | /proc、/sys 部分内容仍可见；Time Namespace (Linux 5.6+) 虽已可用，但 Docker 默认不启用 |
 | **非虚拟化** | 比虚拟机隔离性弱 |
 
 > 需要更强隔离时，可考虑 gVisor、Kata Containers 等安全容器方案。