diff --git a/05_container/README.md b/05_container/README.md
index 6cc6f2b..52fefdc 100644
--- a/05_container/README.md
+++ b/05_container/README.md
@@ -14,7 +14,8 @@
 - **镜像标签约定**：
   - `latest` 或 `v1.0.0` 等：带标签的自定义镜像，示例中指定具体版本
   - `24.04`、`8.4`：官方镜像的稳定版本分支
-  - 生产环境建议：指定确切版本号（如 `nginx:1.28.0`、`mysql:8.4.4`）而非仅大版本号
+  - 生产环境建议：**运行/部署**服务镜像时指定确切版本号（如 `nginx:1.28.0`、`mysql:8.4.4`）而非仅大版本号，让每次部署可复现、升级是显式动作。
+  （注意这与 [第 7 章](../07_dockerfile/README.md) 对 **Dockerfile 基础镜像** 的建议方向相反：基础镜像用主/次版本号，以便重新构建时自动带上补丁。两者面向的是不同环节。）
 
 * [启动容器](5.1_run.md)
 * [守护态运行](5.2_daemon.md)
diff --git a/07_dockerfile/README.md b/07_dockerfile/README.md
index 738041c..cf5e94a 100644
--- a/07_dockerfile/README.md
+++ b/07_dockerfile/README.md
@@ -89,7 +89,8 @@ docker build -t my-image:1.0 .
 本章中的 Dockerfile 示例使用的基础镜像标签遵循以下原则：
 
 - **通用标签**（如 `ubuntu:24.04`、`alpine`、`nginx`）：保持原样，无需修改
-- **基础镜像版本号**（如 `node:22`、`python:3.12`）：使用主或次版本号而非完整版本号（patch），这样可以自动获取最新的补丁版本，确保获得安全更新
+- **基础镜像版本号**（如 `node:22`、`python:3.12`）：使用主或次版本号而非完整版本号（patch），这样可以自动获取最新的补丁版本，确保获得安全更新。
+  （这条只针对 **Dockerfile 的基础镜像**；部署一个服务镜像时反而应钉死确切版本，见 [第 5 章](../05_container/README.md)。）
 - **避免**：不建议使用 `latest` 标签和完整的 patch 版本号（如 `20.10.0`）作为基础镜像，因为这会导致构建的不可重现性或安全风险
 
 读者在使用这些示例时，应根据实际生产环境需求选择合适的版本号。
diff --git a/18_security/18.1_kernel_ns.md b/18_security/18.1_kernel_ns.md
index c306645..074ab1a 100644
--- a/18_security/18.1_kernel_ns.md
+++ b/18_security/18.1_kernel_ns.md
@@ -45,6 +45,12 @@ Docker 守护进程在启动容器时，会在后台为容器创建一套独立
 ```
 使用 `default` 值时，Docker 会自动在宿主机上创建一个名为 `dockremap` 的用户和用户组。
 
+> **注意其代价**：官方文档明确 **containerd image store 在启用 `userns-remap` 时不可用**。
+> 而本书基线是 Docker Engine v29.x，该版本新装默认就是 containerd image store，
+> [12.4 节](../12_implementation/12.4_ufs.md) 也把它标为「强烈推荐（现代默认）」。
+> 也就是说，打开 userns-remap 会让你退回旧的镜像存储后端，失去 OCI image index、
+> 多架构镜像与构建溯源等能力。两者只能二选一，请按威胁模型权衡。
+
 2. **验证子 UID 和子 GID 分配**
 
 Docker 会通过 `/etc/subuid` 和 `/etc/subgid` 文件为 `dockremap` 分配一个高位的 UID 范围：