容器挂载 docker.sock 的风险

把宿主 /var/run/docker.sock 挂进容器后，容器内进程可完全控制宿主 Docker：创建挂载宿主根目录的容器、读取所有镜像与密钥；这是容器逃逸到宿主控制的常见通道。

风险面排查

docker inspect <容器名> --format '{{range .Mounts}}{{.Source}} -> {{.Destination}}{{"\n"}}{{end}}'
# 出现 /var/run/docker.sock 即命中该风险模式

1. 评估必要性：多数场景可用 API 封装服务替代直接挂载
2. 必须挂载时用只读(:ro)并限制容器权限（不配合 privileged）
3. 使用 rootless Docker 或专用最小权限代理

CI/CD 构建场景常见该模式；应把构建任务与生产宿主隔离，构建机单独池化。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌