Docker容器默认无法访问宿主机设备节点，需通过--device显式挂载并限定权限（如:r、:w、:rw），配合--cap-drop、--security-opt及cgroups设备规则实现最小权限隔离。
Docker容器默认无法访问宿主机的任何设备节点（比如 /dev/sda、/dev/nvidia0、/dev/ttyUSB0），必须显式授权才能使用。限制硬件访问的核心思路是：只挂载必需的设备 + 控制读写权限 + 配合内核级隔离机制，而不是开放全部设备再做“禁止”。
用 --device 显式挂载并限定权限
这是最直接、最安全的做法。不加 `--device`，容器里根本看不到对应设备文件；加了，才真正赋予访问能力，并可细化控制。语法格式：
docker run --device :[:]-
常见模式：
-
:r：只读（如--device /dev/sr0:/dev/sr0:r，仅允许读光驱） -
:w：只写（极少用，一般不单独配置） -
:rw或省略：读写（默认，但实际操作仍受 capability 和 cgroups 约束）
-
示例：
docker run -it --device /dev/video0:/dev/video0:r ubuntu:22.04
容器内只能读取摄像头，不能写入或控制参数。
注意：即使挂载为 `:rw`，若容器进程没有 `SYS_ADMIN` 或 `SYS_RAWIO` capability，也无法执行某些特权操作（如格式化磁盘）。所以挂载只是第一步，不是万能通行证。
配合 --cap-drop 和 --security-opt 加强隔离
仅靠 `--device` 不足以防止越权操作，需叠加 Linux capability 和安全策略：去掉高危 capability（推荐默认启用）：
--cap-drop=ALL --cap-add=NET_BIND_SERVICE
这样即使挂载了/dev/mem或/dev/kvm，容器也无法直接访问物理内存或启动虚拟机。禁用不必要设备访问（针对 devices cgroup v1）：
--security-opt=no-new-privileges:true
阻止容器内进程通过 setuid/setgid 提权后突破设备限制。强制启用 device cgroup 规则（cgroups v2 环境下更有效）：
Docker daemon 启动时确保--cgroup-manager=systemd，并在容器运行时自动应用 device controller 黑白名单。
用 cgroups device controller 实现细粒度黑白名单
当需要批量控制（例如：允许访问所有 `/dev/tty*` 但禁止 `/dev/sd*`），单靠 `--device` 就不够灵活，此时应结合 cgroups 设备规则：在
docker run中指定设备白名单（需宿主机支持 cgroups v2）：--device-cgroup-rule='c 188:* rmw'
表示允许主设备号 188（USB serial）的所有次设备号，且支持 read、write、mknod。黑名单示例（禁止所有块设备写入）：
--device-cgroup-rule='b *:* w'
注意顺序：规则按添加顺序匹配，先匹配到即生效。
这类规则适合 CI/CD 构建容器、无状态服务等场景，避免因误挂载导致宿主机磁盘被意外擦写。
GPU、声卡等特殊设备的典型处理方式
这些设备通常依赖驱动和用户态库，单纯挂载设备节点还不够，还需配套环境：NVIDIA GPU：
使用nvidia-container-toolkit+--gpus all或--gpus device=0,1，它会自动挂载/dev/nvidiactl、/dev/nvidia-uvm等，并注入 CUDA 库路径。声卡（ALSA）：
--device /dev/snd:/dev/snd:rwm --group-add audio，同时确保容器内有alsa-utils和正确 UID/GID 映射。USB 设备（如 HID、串口）：
--device /dev/ttyUSB0:/dev/ttyUSB0:rwm --device /dev/bus/usb:/dev/bus/usb:r，必要时加--privileged（不推荐，应尽量避免）。
原则始终是：最小权限交付。能只读就不给写，能限定设备号就不放通配符，能用 capability 控制就不开 privileged。
