使用host网络模式会完全取消网络隔离，容器直接共享宿主机网络栈，导致暴露面扩大和权限越界两大风险；需排查敏感端口访问、宿主机服务连通性、端口冲突、跨平台不一致及高危权限配置。
使用 host 网络模式会完全取消容器与宿主机之间的网络隔离，所有容器直接共享宿主机的网络栈——这意味着容器内进程能访问宿主机的 127.0.0.1、本地服务（如 dbus、docker.sock、sshd）、甚至监听在公网网卡上的端口。排查其安全性风险需聚焦“暴露面扩大”和“权限越界”两个核心维度。
检查是否意外启用了 host 模式
很多服务因性能优化或配置疏忽被设为 network_mode: host，但未同步加固。应主动识别：
- 运行
docker ps --format "table {{.Names}}\t{{.Networks}}\t{{.Command}}" | grep host查看当前运行中使用 host 网络的容器 - 检查 Compose 文件：搜索
network_mode: host或net: host，特别注意开发环境遗留配置 - 检查 Dockerfile 中是否含
NETWORK=host类构建参数（虽不生效，但反映设计意图）
验证容器是否可访问敏感宿主机资源
进入容器内部，实测关键路径连通性，确认风险是否真实存在：
- 执行
curl -v http://127.0.0.1:2375/version（若 Docker daemon 开放 TCP）→ 可能导致远程容器创建/删除 - 执行
nc -zv 127.0.0.1 22→ 若 SSH 开放且无密钥限制，可能成为跳板 - 执行
ls /var/run/docker.sock && docker ps→ 若挂载了 sock 文件并启用 host 网络，权限叠加风险极高 - 执行
ss -tln查看容器内监听端口 → 若出现非预期端口（如 6379、5432），说明宿主机服务已被容器“看见”
审计端口冲突与服务覆盖行为
host 模式下，容器绑定端口即等同于宿主机绑定，极易引发端口抢占或服务覆盖：
- 运行
sudo ss -tulpn | grep ':80\|:443\|:3000'，比对输出中pid对应的是宿主机进程还是容器进程 - 启动一个测试容器：
docker run --rm -it --network host alpine netstat -tlnp 2>/dev/null | grep :80，确认是否与预期服务一致 - 若多个容器都尝试监听同一端口（如都用
nginx -g "daemon off;"绑定 80），后启动者会失败，但错误日志易被忽略
评估跨平台与权限失控风险
host 模式在非 Linux 平台（macOS/Windows）实际退化为 bridge，造成开发-生产行为不一致；同时默认赋予过高能力：
- 检查容器是否以 root 运行：
docker inspect <container> | jq '.[0].Config.User'，空值即为 root - 查看是否启用高危 capabilities：
docker inspect <container> | jq '.[0].HostConfig.CapAdd'，如含NET_ADMIN或SYS_ADMIN需立即收敛 - 确认是否禁用特权模式：
docker inspect <container> | jq '.[0].HostConfig.Privileged'，true是严重红线
