非root用户无法绑定1–1023端口，FrankenPHP监听:80会报permission denied；应改用≥1024端口（如:8080），或通过反向代理（Nginx/Caddy）、Kubernetes Service解耦暴露端口，确保监听地址为0.0.0.0:x且防火墙/安全组放行。
FrankenPHP容器非root用户无法绑定1-1023端口
非root用户在Linux容器内默认没有权限绑定特权端口（1–1023），比如:80或:443。FrankenPHP启动时若指定--listen :80，会直接报错listen tcp :80: bind: permission denied，不是配置问题，是系统级限制。
- 必须改用≥1024的端口，例如
:8080、:8443或:3000 - 如果镜像默认以非root用户运行（如
frankenphp:1.2用www-data），即使你没显式写user:，它也已受限 -
--user root能绕过限制，但违背最小权限原则，Kubernetes中还可能被PodSecurityPolicy或securityContext拦截
怎么让非root用户监听高权限端口（不推荐）
极少数场景下真要绑:80又不能切root，可提前给frankenphp二进制加CAP_NET_BIND_SERVICE能力，但Docker/K8s支持有限且易出兼容问题：
- Docker运行时需加
--cap-add=NET_BIND_SERVICE，且基础镜像得支持setcap - Kubernetes中需在
securityContext.capabilities.add里声明，但很多集群禁用该能力 - FrankenPHP官方镜像未预置该能力，需自己
FROM重打包，维护成本高
实际部署建议：用反向代理或Service层解耦端口
生产环境更稳妥的做法，是让FrankenPHP只监听安全端口（如:8080），把端口暴露和协议终止交给上层处理：
- 在Kubernetes中，
containerPort设为8080，Service的port仍可暴露为80，流量经kube-proxy转发无感知 - 用Nginx/Caddy作前置代理：监听
:80/:443，再反向代理到http://frankenphp:8080 - CDN或云WAF终止HTTPS后，后端FrankenPHP只需监听
:8080并信任X-Forwarded-Proto头
验证非root监听是否生效
启动后别只看日志“Starting on http://...”，要实测连接：
立即学习“PHP免费学习笔记（深入）”；
- 进容器执行
ss -tlnp | grep :8080，确认监听地址是0.0.0.0:8080而非127.0.0.1:8080（后者外部连不上） - 从宿主机
curl -v http://localhost:8080/health，返回200才算真正就绪 - 若用
SERVER_NAME=:8080，确保Docker启动时有-p 8080:8080，且Kubernetes中containerPort和targetPort一致
