| 默认 | 容器已有默认能力集（非 root 更少） |
|---|---|
| 最小授权 | --cap-drop=ALL --cap-add=NET_BIND_SERVICE |
| 常用能力 | NET_ADMIN（抓包/改路由）、SYS_TIME（改时钟）、CHOWN |
| 特权模式 | --privileged：全能力+设备访问+放宽 cgroup，危险 |
使用示例
使用示例
docker run -d --cap-drop=ALL --cap-add=NET_BIND_SERVICE -p 80:80 nginx:1.27
docker run --rm --cap-add=NET_ADMIN nicolaka/netshoot tcpdump -i eth0 -c 5--privileged 或挂 /var/run/docker.sock 等价于给容器宿主 root：仅在受控环境短时使用。