用户命名空间映射 userns-remap

启用 userns-remap 后容器内 root 映射为宿主上的非特权用户：即使容器内以 root 运行，逃逸到宿主也不是真 root。

配置	daemon.json: userns-remap: "default"
效果	容器 root → 宿主普通用户（约定 UID 段）
代价	卷与绑定目录属主关系变化

示例

{
  "userns-remap": "default"
}

docker info -f '{{json .SecurityOptions}}'
docker run --rm -v /tmp/userns-test:/data alpine sh -c 'id; touch /data/f'; ls -ln /tmp/userns-test

切换前评估数据卷迁移与共享目录权限，启用后宿主上文件属主会体现为映射后的 UID。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌