| 目的 | 缩小 API 暴露面 |
|---|---|
| 机制 | 按 API 分区开关转发请求，写操作单独放行 |
| 部署 | 代理容器 + 有限的网络可达范围 |
示例
示例
services:
socket-proxy:
image: tecnativa/docker-socket-proxy
environment:
CONTAINERS: 1
IMAGES: 1
POST: 0
volumes:
- /var/run/docker.sock:/var/run/docker.sock:ro
ports:
- 127.0.0.1:2375:2375
runner:
image: ci/runner:3.1
environment:
DOCKER_HOST: tcp://socket-proxy:2375代理是权限收敛手段而不是万能替身：放行哪些分区要按业务实际用到的 API 逐项验证。