关键是以--cap-add=NET_BIND_SERVICE精准授权绑定低端口，同时--cap-drop=ALL白名单控制，并以非root用户运行worker进程，禁用冗余能力、只读挂载配置与日志目录隔离。
在容器内以非特权用户运行 Nginx 并绑定 80/443 等低端口，关键不是“去掉 root”，而是“精准授权”——用 Linux Capabilities 补足必要权限，同时剥夺其余所有高危能力。这既满足端口绑定需求，又符合 CIS Docker Benchmark、等保2.0 和云原生安全最佳实践。
必须启用 CAP_NET_BIND_SERVICE
这是唯一必需的能力。Nginx worker 进程需该能力才能调用 bind() 绑定到 1–1023 端口，无需整个进程以 UID 0 运行。
- Docker CLI 写法：
docker run --cap-add=NET_BIND_SERVICE --user 1001:1001 -p 80:80 nginx - Docker Compose 写法：
services: web: image: nginx user: "1001:1001" cap_add: - NET_BIND_SERVICE ports: - "80:80" - 注意：不能搭配
--privileged或--cap-drop=ALL后漏加该能力，否则启动失败并报错bind() to 0.0.0.0:80 failed (13: Permission denied)
必须切换为非 root 用户运行 worker 进程
官方 Nginx 镜像默认以 root 启动 master 进程（用于监听端口、管理 worker），但 worker 可降权。需在配置中明确指定非特权用户，并确保该用户对日志、临时目录有写权限。
- 修改
/etc/nginx/nginx.conf，添加或确认：user nginx; # 不是 root，也不是 nobody（该用户在 Alpine/Debian 镜像中可能不存在） worker_processes auto;
- 构建自定义镜像时，在 Dockerfile 中创建用户并赋权：
RUN groupadd -g 1001 -r nginx && \ useradd -r -u 1001 -g nginx nginx COPY nginx.conf /etc/nginx/nginx.conf RUN chown -R nginx:nginx /var/cache/nginx /var/log/nginx /etc/nginx USER nginx - 验证方式：进入容器执行
ps aux | grep nginx，应看到nginx用户运行的 worker 进程，master 进程可为 root（仅需初始化，不处理请求）
必须禁用其他冗余 capabilities
只加 NET_BIND_SERVICE，不加 SYS_ADMIN、NET_ADMIN、DAC_OVERRIDE 等高风险能力。它们与端口绑定无关，却会极大扩大攻击面。
- 推荐白名单式启动（显式 drop 全部再 add 必需项）：
docker run \ --cap-drop=ALL \ --cap-add=NET_BIND_SERVICE \ --user 1001:1001 \ -p 80:80 \ nginx - 避免使用
--security-opt seccomp=unconfined或关闭 AppArmor，这些会绕过 capability 控制 - 若需日志轮转或配置热重载，应通过宿主机工具（如 logrotate）或 sidecar 容器完成，而非赋予容器
SYS_ADMIN
必须配合只读文件系统与受限挂载
即便权限已收紧，仍需防止配置被篡改或恶意写入临时路径。
- 将 Nginx 配置、静态资源设为只读挂载：
-v $(pwd)/conf.d:/etc/nginx/conf.d:ro \ -v $(pwd)/html:/usr/share/nginx/html:ro
- 日志目录需可写，但限制挂载范围：
-v $(pwd)/logs:/var/log/nginx:rw
- 启动时启用只读根文件系统（适用于无状态场景）：
docker run --read-only --tmpfs /var/cache/nginx --tmpfs /var/run/nginx.pid ...
