--cap-add用于在docker容器中精确授予特定linux能力以提升安全性，避免使用--privileged；默认仅启用基础能力，可通过--cap-add显式添加如net_bind_service、sys_time等，并配合--cap-drop实现最小权限原则。

在 Docker 容器中使用 --cap-add 可以精确授予特定 Linux 能力（capabilities），避免直接用 --privileged 开放全部权限，这是提升容器安全性的关键实践。

理解 Cap-Add 的作用范围

Docker 默认只启用部分基础能力（如 CAP_CHOWN、CAP_SETUIDS 等），其余被丢弃。通过 --cap-add 可显式添加缺失但必需的能力，例如：

• CAP_NET_BIND_SERVICE：允许绑定 1024 以下端口（如运行 nginx 监听 80）
• CAP_SYS_TIME：允许修改系统时间（需谨慎）
• CAP_SYS_ADMIN：功能强大，支持挂载文件系统、设置命名空间等，应尽量避免；若必须使用，建议配合 --cap-drop 显式剔除子集

常用 Cap-Add 操作方式

启动容器时指定单个或多个能力：

• docker run --cap-add=NET_BIND_SERVICE -p 80:80 nginx
• docker run --cap-add=SYS_TIME --cap-add=IPC_LOCK alpine sh -c 'date -s "2024-01-01"
• 也可用 ALL 添加全部能力（不推荐）：--cap-add=ALL

查看容器实际生效的能力，可在容器内执行：capsh --print 或 cat /proc/self/status | grep CapEff（十六进制，需解码）。

配合 Cap-Drop 实现最小权限原则

即使添加了某些能力，也应主动移除不需要的默认能力：

• docker run --cap-add=NET_BIND_SERVICE --cap-drop=ALL --cap-add=CHOWN --cap-add=DAC_OVERRIDE nginx
• 这样只保留 NET_BIND_SERVICE 及其依赖的基础能力（如 CHOWN、DAC_OVERRIDE），其他一律禁用
• 注意：--cap-drop=ALL 会清空所有默认能力，后续 --cap-add 必须显式补全所有必要能力，否则容器可能无法启动

验证与调试技巧

能力缺失通常表现为“Operation not permitted”错误。调试步骤如下：

• 先确认报错操作对应哪个 capability（查 man 7 capabilities）
• 用 strace 跟踪系统调用（需在容器中安装 strace 并添加 CAP_SYS_PTRACE）
• 在开发阶段可临时加 --cap-add=ALL 验证是否为能力问题，再逐步缩小范围
• 生产环境务必移除 CAP_SYS_ADMIN、CAP_DAC_OVERRIDE 等高危能力，除非有明确且可控的用途