Add more OCI features
Add more OCI features

- masked paths
- readonly paths
- allow attaching to existing namespaces, eg if bind mounted by a system container

Signed-off-by: Justin Cormack <af64ee19f04db9509cb02b0e470e11e5402ef9b3@docker.com>

YuPengZTE/linuxkit,rn/linuxkit,yankcrime/linuxkit,YuPengZTE/linuxkit,rn/linuxkit,justincormack/tool,riyazdf/tool,justincormack/linuxkit,JohnnyLeone/linuxkit,JohnnyLeone/linuxkit,djs55/linuxkit,JohnnyLeone/linuxkit,YuPengZTE/linuxkit,davefreitag/tool,justincormack/linuxkit,linuxkit/linuxkit,rn/linuxkit,konstruktoid/linuxkit,linuxkit/linuxkit,YuPengZTE/linuxkit,justincormack/linuxkit,konstruktoid/linuxkit,konstruktoid/linuxkit,djs55/linuxkit,djs55/linuxkit,djs55/linuxkit,furious-luke/linuxkit,deitch/linuxkit,deitch/linuxkit,linuxkit/linuxkit,linuxkit/linuxkit,justincormack/linuxkit,furious-luke/linuxkit,yankcrime/linuxkit,YuPengZTE/linuxkit,deitch/linuxkit,linuxkit/linuxkit,furious-luke/linuxkit,rn/linuxkit,YuPengZTE/linuxkit,deitch/linuxkit,yankcrime/linuxkit,yankcrime/linuxkit,rn/linuxkit,konstruktoid/linuxkit,furious-luke/linuxkit,deitch/linuxkit,konstruktoid/linuxkit,konstruktoid/linuxkit,justincormack/linuxkit,yankcrime/linuxkit,djs55/linuxkit,JohnnyLeone/linuxkit,furious-luke/linuxkit,JohnnyLeone/linuxkit,justincormack/linuxkit,yankcrime/linuxkit