GoReplay等抓包工具需CAP_NET_RAW（因调用AF_PACKET/SOCK_RAW或libpcap），Web服务绑定80/443端口只需CAP_NET_BIND_SERVICE；关键看系统调用：socket(AF_PACKET,...)→前者，bind()低号端口→后者。
GoReplay、自研抓包工具或需要监听网卡原始流量的程序，必须获得 CAP_NET_RAW 才能绕过 root 运行；而仅需绑定 80/443 端口的 Web 服务，用 CAP_NET_BIND_SERVICE 就够了——两者权限粒度不同，不能混用。
怎么判断你的程序到底需要哪个 capability
关键看它在做什么系统调用：
- 调用
socket(AF_PACKET, SOCK_RAW, ...)或依赖libpcap（如 GoReplay 的--input-raw）→ 必须CAP_NET_RAW - 调用
bind()到端口< 1024（如 Nginx 监听 80）→ 只需CAP_NET_BIND_SERVICE - 若还涉及设置混杂模式、BPF 过滤器、读取网卡统计等 → 可能额外需要
CAP_NET_ADMIN，但应先验证是否真用到
运行前用 strace -e trace=socket,bind ./yourprogram 观察实际调用，比猜更可靠。
setcap 命令的写法和常见错误
正确格式是：sudo setcap 'cap_xxx=+ep' /path/to/binary。注意三点：
-
' '单引号必须包裹整个 capability 字符串，否则 shell 会拆分空格导致失败 -
=+ep表示同时加入“许可能力集（permitted）”和“有效能力集（effective）”，缺一不可；写成=+p会导致运行时报Operation not permitted - 路径必须指向**最终执行的二进制文件**，不是软链接或脚本包装器；Go 编译的静态二进制、Nginx 主程序、
goreplay本身都适用，但不能设在启动脚本上
设完后立刻用 getcap /path/to/binary 验证输出是否为 /path/to/binary = cap_net_raw+ep。
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
为什么加了 capability 还报 permission denied
常见原因有四个：
- 文件系统挂载时用了
nosuid或noexec选项（如/tmp、/dev/shm），capability 会被内核忽略 - 二进制被 strip 过或签名损坏，部分发行版（如 RHEL/CentOS 8+）会拒绝加载带 capability 的破损文件
- SELinux 处于 enforcing 模式且策略未放行该能力，可用
ausearch -m avc -ts recent | grep capability查日志 - 程序 fork 出子进程后，子进程默认不继承 effective 能力，除非显式调用
prctl(PR_SET_KEEPCAPS, 1)—— 这是 GoReplay 等工具源码里已处理的点，但你自己写的 C/Go 程序得自己加
GoReplay 非 root 运行的最小可行配置
以 goreplay 为例，它依赖 AF_PACKET 原始套接字，只靠 CAP_NET_RAW 不够稳定，推荐组合授权：
- 先确认当前用户属于某个专用组（如
pcap），并把网卡接口权限设为该组可读：sudo setfacl -m g:pcap:rx /sys/class/net/eth0 - 再执行：
sudo setcap 'cap_net_raw,cap_net_admin=+ep' /usr/local/bin/goreplay - 运行时显式指定网卡：
goreplay --input-raw :80 --output-http http://localhost:8000 --input-raw-interface eth0
不要省略 --input-raw-interface，否则它会尝试枚举所有接口，而普通用户无权访问 lo 以外的多数接口，容易静默失败。
Capability 不是万能胶布，CAP_NET_RAW 授予的是“发原始包+抓原始包”的能力，不是“读取任意进程网络数据”的能力。真正要审计的，是二进制文件本身是否可信、它的内存是否被注入、以及它拿到能力后实际做了什么系统调用——这些比纠结要不要用 sudo 更关键。
