风险参数检查
风险参数检查
docker inspect <容器名> --format '{{.HostConfig.Privileged}}'
docker inspect <容器名> --format '{{.HostConfig.CapAdd}}'
# 输出 true 或包含 SYS_ADMIN / SYS_PTRACE 等需要说明理由收敛建议
收敛建议
默认不加特权，按需最小化能力：
--cap-drop ALL 后再 --cap-add 具体能力
禁止 --pid=host、--ipc=host，除非有明确场景
用只读根文件系统 --read-only 与 no-new-privileges 加固特权容器不是必然漏洞，但属于高影响配置，应纳入变更评审与清单管理。