Linux Capabilities 是 Docker 精细化权限控制的核心机制，将 root 权限拆分为近 40 种独立能力；--cap-add 显式追加能力，--cap-drop 移除能力，二者组合可实现最小权限原则，如 --cap-drop=ALL --cap-add=NET_BIND_SERVICE 仅保留绑定特权端口能力。
linux capabilities 是 docker 安全模型的底层支柱，它把传统 root 的“全能权限”拆成可开关的独立开关。配置得当，既能满足应用刚需（比如 spring boot 绑定 80 端口），又不会让容器获得加载内核模块、挂载任意文件系统这类高危能力。
Capabilities 的本质：不是“给 root”，而是“给能力”
传统 UNIX 中，UID 0 就等于“什么都能干”。Capabilities 把这个大权限切成近 40 个小单元，每个进程只拿自己真正需要的那几个。Docker 容器默认只启用约 14 种基础能力（如 KILL、NET_BIND_SERVICE、DAC_OVERRIDE），其余全部关闭。这意味着即使你用 root 启动 Java 应用，它也无法执行 ip link add 或 mount 这类操作——除非你明确加。
cap-add 和 cap-drop 的真实作用逻辑
--cap-add 是显式追加一项能力，不覆盖已有集合；--cap-drop 是从当前能力集中移除某项。两者可以组合使用，形成白名单式控制。
- 默认启动容器时，Docker 已预置一个安全子集，无需额外添加也能运行大多数 Java Web 服务
- 若需绑定 80 端口，只需
--cap-add=NET_BIND_SERVICE，不需要开NET_ADMIN - 想彻底收紧，可用
--cap-drop=ALL --cap-add=NET_BIND_SERVICE，确保只保留这一项 -
--cap-drop支持通配符，例如--cap-drop=SYS_*可批量屏蔽所有以 SYS_ 开头的能力
Java 场景下的典型配置与避坑点
Spring Boot、Tomcat、Nginx 等常见 Java 相关服务，绝大多数时候只依赖几个关键能力：
Linux Ai Server
下载
Linux AI 服务器 — 将 Linux 服务器转换为本地 AI 推理集群。使用 systemd、NVIDIA CUDA 实现无头 Linux AI，零 GUI 开销。
-
NET_BIND_SERVICE：必须项，用于监听 80/443 等特权端口；Docker Compose 中写为
cap_add: ["NET_BIND_SERVICE"] - KILL：默认已含，用于主进程向子进程发信号（如优雅停机），一般无需手动加
-
SETUID / SETGID：仅在容器内需切换用户身份时才需要，多数 Java 应用通过
USER指令提前降权，应避免运行时动态切换 - AUDIT_WRITE：仅当应用主动写入 audit 日志才需开启，普通日志输出（logback、slf4j）不依赖它
特别注意：SYS_ADMIN、NET_ADMIN、MODULE 类能力，对纯业务 Java 应用基本无用，却极大扩大攻击面，生产环境应禁用。
高可用部署中的能力管理实践
在 Kubernetes 或 Docker Swarm 等编排平台中，Capabilities 需与其它安全机制协同：
- 在 Dockerfile 中用
USER nonroot降低初始权限，再按需用cap_add补充必要能力，而非依赖 root + 能力组合 - Docker Compose v3.8+ 支持
security_opt: ["no-new-privileges:true"]，防止容器内进程通过 setuid 程序提权，建议始终启用 - 配合 seccomp profile 使用，例如屏蔽
mount、init_module等系统调用，形成双重防护 - 验证是否生效：进入容器后执行
cat /proc/1/status | grep CapEff，查看十六进制能力位图，再用capsh --decode=0x...解码确认
