怎样安全地在 VPS 跑有潜在漏洞的 PHP +MySQL 项目？ Docker 隔离可行？

[X-Force]

如题，现有需要上线跑一个老旧的 PHP+MySQL 项目，已知有众多漏洞。虽然已手动修复了 N 多能找到的漏洞，但估计还有不少潜在的危险。

需要跑在内存不多的 VPS 上，上虚拟机不现实。

如果用 Docker 跑在容器里，怎样能较好地保证宿主机器的安全？还有 MySQL 数据需要持久化，有没有能保证相对安全一点的做法？

[Buges]

docker 有 uid 隔离和 rootless 模式，具体参考官方文档 security 章节。
如果能打开嵌套虚拟化的话，开个虚拟机不会占用多少资源。