Podman rootless模式下User=xxx有效且安全，因无需root守护进程；而Docker中User字段无效或危险，因其依赖root权限的dockerd且加入docker组等价于root权限。
不能直接在 systemd 单元文件中用 User 和 Group 安全运行容器进程——因为绝大多数容器运行时（如 Docker、Podman）本身要求 root 权限启动守护进程，且容器内进程的用户切换由容器引擎控制，不是靠 systemd 的 User/Group 字段实现的。
为什么 User=xxx 在容器服务里通常无效或危险
systemd 的 User 和 Group 字段只作用于 ExecStart 启动的主进程本身。如果你写：
[Service] User=appuser ExecStart=/usr/bin/docker run --rm nginx
这会让 docker 命令以 appuser 身份执行，但 docker CLI 会向 root 权限的 dockerd 守护进程发请求——而该守护进程默认只允许 root 或 docker 组成员访问 Unix socket（/var/run/docker.sock）。普通用户若被加进 docker 组，就等价于获得 root 权限（可挂载宿主机任意路径、逃逸、读取敏感文件），违背“低权限”初衷。
真正安全的做法：绕过 dockerd，用 rootless 容器运行时
现代方案是弃用传统 dockerd，改用原生支持 rootless 模式的容器引擎，它们不依赖全局守护进程，全程以普通用户身份运行：
- Podman（推荐）：默认支持 rootless，无需 daemon，通过 fork-exec 启动容器；用户级网络、存储、命名空间全部隔离。
- nerdctl + containerd-rootless：配合 rootless containerd，适合需要兼容 Docker CLI 语义的场景。
配置示例（Podman rootless）：
[Unit] Description=My App via Podman After=network.target <p>[Service] Type=simple User=appuser Group=appgroup WorkingDirectory=/home/appuser/myapp ExecStart=/usr/bin/podman run --rm -p 8080:80 -v /home/appuser/myapp/html:/usr/share/nginx/html nginx Restart=on-failure RestartSec=10 Environment=HOME=/home/appuser</p><h1>必须设置 XDG_RUNTIME_DIR，否则 rootless podman 无法初始化</h1><p>Environment=XDG_RUNTIME_DIR=/run/user/%i</p><p>[Install] WantedBy=default.target
关键点：
-
User=appuser真正生效——整个 podman 进程及其子容器都运行在该用户上下文中 -
XDG_RUNTIME_DIR必须显式设置（systemd 不自动为非登录用户设此变量），否则报could not create runtime directory - 容器内应用仍可用
nginx默认用户（www-data），与宿主用户完全隔离
如果必须用 Docker，最低限度加固方式
仅限测试或可信环境，不推荐生产：
- 创建专用受限用户：
useradd -r -s /bin/false dockersvc - 将该用户加入
docker组：usermod -aG docker dockersvc - 在 service 文件中指定：
User=dockersvc，并禁用交互式 shell - 严格限制容器能力：
ExecStart=... --cap-drop=ALL --read-only --tmpfs /run --tmpfs /tmp - 绝不挂载
/、/etc、/proc等宿主敏感路径
⚠️ 注意：只要在 docker 组里，该用户就具备提权能力，不属于真正的“低权限运行”。
验证是否真以普通用户运行
启用服务后检查：
-
systemctl --user status myapp.service（rootless）或systemctl status myapp.service（系统级） -
ps aux | grep myapp—— 查看进程 UID 是否匹配目标用户 -
podman ps --format "{{.ID}} {{.Status}} {{.User}}" --all（rootless）确认容器用户字段
