| 组合项 | user / read-only / tmpfs / cap-drop / no-new-privileges / memory / pids-limit |
|---|---|
| 适用 | 无状态服务与静态站点类工作负载 |
| 验证 | docker inspect 查看 HostConfig 对应字段 |
示例
示例
docker run -d --name web --user 10001:10001 --read-only --tmpfs /tmp:size=64m --cap-drop=ALL --security-opt no-new-privileges --memory=512m --pids-limit=256 --restart=unless-stopped web/static:1.0
docker inspect -f '{{.HostConfig.ReadonlyRootfs}} {{.HostConfig.CapDrop}} {{.HostConfig.SecurityOpt}}' web先跑审计模式观察应用是否依赖额外写入路径，再逐步收紧；组合项可配合 Compose 的对应字段落地。