| 用途 | 精确控制 Linux capabilities |
|---|---|
| 语法 | --cap-drop=ALL --cap-add=NET_BIND_SERVICE |
| 验证 | 容器内查看 /proc/self/status 的 CapEff |
示例
示例
docker run --rm --cap-drop=ALL --cap-add=NET_BIND_SERVICE alpine sh -c 'grep Cap /proc/self/status'
docker run -d --cap-drop=ALL --cap-add=CHOWN --cap-add=SETGID --cap-add=SETUID --name app app/base:2.0能力常量与内核版本对应，上线前用实际容器跑一遍关键路径验证不缺失。