最小权限管理核心是挂载方式、用户身份、命名空间隔离、安全模块适配四层协同：只读优先并禁用高危路径；统一UID/GID避免错位；关闭共享命名空间并启用--read-only；SELinux用:Z/:z适配而非禁用。
最小权限管理在 Docker 容器挂载宿主机路径时，核心是“只给必要权限、不暴露多余能力”。不是简单加个 :ro 就算完成，而是从挂载方式、用户身份、命名空间隔离、安全模块适配四个层面协同控制。
挂载方式：只读优先，禁用高危路径
对非必需写入的目录，一律使用 :ro（只读挂载）；确需写入时，避免直接挂载敏感系统路径：
- 禁止挂载
/、/proc、/sys、/dev等根或内核接口路径，尤其杜绝-v /:/host这类递归挂载 - 禁止挂载
/var/run/docker.sock—— 这是最常见的逃逸入口，除非明确需要调用 Docker API，否则一律不挂 - 日志、配置等挂载点优先用
named volume或emptyDir，而非 bind mount；必须 bind mount 时，限定到最小粒度子目录（如/data/app/logs而非/data）
用户身份：统一 UID/GID，避免权限错位
容器内进程用户与宿主机目录属主不匹配，是写入失败的主因。需主动对齐而非依赖默认 root：
- 构建镜像时，在
Dockerfile中通过ARG PUID=1001+useradd -u ${PUID}创建与宿主机一致的用户 - 运行时用
--user 1001:1001强制指定 UID/GID，绕过镜像内USER设置偏差 - 宿主机上提前执行
chown -R 1001:1001 /host/path，确保目录归属与容器用户完全对应
命名空间与能力：关闭共享，收紧系统调用
挂载本身只是第一步，逃逸常发生在容器获得额外命名空间或能力后突破隔离：
- 禁用
--network=host、--pid=host、--ipc=host—— 它们会共享宿主机对应命名空间，使挂载路径的实际访问边界失效 - 避免使用
--privileged；如需特定能力（如修改时间、绑定端口），用--cap-add=SYS_TIME等细粒度添加，而非全开 - 启用
--read-only标志将整个容器根文件系统设为只读，挂载点单独用:rw显式放开写权限
SELinux/AppArmor：适配安全策略，不绕过只适配
在 CentOS/RHEL（SELinux）或 Ubuntu（AppArmor）上，即使文件权限和 UID 都正确，安全模块仍会拦截访问：
- 推荐方案：挂载时加
:Z（为文件打 container_file_t 标签）或:z（多容器共享标签），让 SELinux 允许 container_t 进程访问 - 替代方案：用
chcon -t svirt_sandbox_file_t /host/path手动标记宿主机路径类型 - 不推荐临时禁用 SELinux（
setenforce 0）或卸载 AppArmor，这等于放弃最后一道防线
