挂载 docker.sock 的风险与控制

把 /var/run/docker.sock 挂进容器等于把守护进程控制权交给它：可创建特权容器并访问宿主资源，属高危配置，需严格限定场景。

Docker 容器速查云更新于 2026-10-12

风险	容器可经 API 控制宿主 Docker（等效宿主 root 面）
识别	inspect 的 Mounts 里出现 docker.sock
替代	代理网关收敛 API / 专用 CI 环境 / rootless

示例

docker inspect -f '{{range .Mounts}}{{.Source}} -> {{.Destination}}{{"\n"}}{{end}}' ci-runner
docker ps -q | xargs -r docker inspect -f '{{.Name}} {{range .Mounts}}{{.Source}} {{end}}'

宿主上加入 docker 用户组同样等于该权限面；两者都要纳入权限审计与最小化名单。

易错点

挂载时加 :ro 并不能阻止通过 API 做特权操作，勿把只读挂载当作缓解
CI 构建机暴露 socket 给不可信任务时，宿主机与其他构建互相影响的边界要重新评估

数据来源与参考

Docker 官方文档：Docker socket 安全提示（docs.docker.com）

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌