必须启用的三项--security-opt实战配置是：1. --security-opt=userns-remap=default强制用户命名空间映射；2. --security-opt=no-new-privileges禁用权限提升；3. --security-opt=label=type:container_t绑定SELinux上下文，三者协同实现运行时最小权限兜底加固。
直接在 docker run 命令中使用 --security-opt，是启动容器时最轻量、最即时的安全合规加固方式。它不依赖镜像构建阶段修改，也不需要修改 docker daemon 全局配置，适合 ci/cd 流水线快速注入策略或临时调试环境加固。
核心作用：覆盖默认宽松策略，强制启用内核级隔离机制
--security-opt 用于向容器运行时传递安全模块参数，主要影响 User Namespace、SELinux、AppArmor 等底层隔离能力。其关键价值在于——绕过镜像中可能残留的 root 权限逻辑，在运行时“兜底”启用合规基线。
必须启用的三项 --security-opt 实战配置
1. 强制启用用户命名空间映射（防 UID 冲突与逃逸）--security-opt=userns-remap=default
该选项让 Docker 自动为容器分配独立的 UID/GID 映射范围（如 100000–165535），使容器内 UID 0（root）实际对应宿主机上一个无特权的普通用户。即使应用以 root 启动，也无法直接操作宿主机 root 资源。需确保 Docker daemon 已配置 userns-remap 并重启生效。
2. 禁用非必要用户命名空间绕过（堵 CVE-2023-28842 类漏洞）--security-opt=no-new-privileges
禁止容器内进程通过 execve() 提升权限（如 setuid 二进制、cap_sys_admin 获取等）。这是缓解命名空间逃逸链的关键一环，尤其在未启用 userns-remap 的环境中也有效。
3. 绑定 SELinux 上下文（满足 STIG/CIS 合规要求）--security-opt=label=type:container_t
为容器进程和挂载点打上标准 SELinux 类型标签，触发强制访问控制策略。配合已启用 SELinux 的宿主机（enforcing 模式），可阻止跨容器文件读写、非法网络绑定等违规行为。企业级审计（如 OpenSCAP）常将此项列为高风险项修复依据。
配合使用的最小化加固组合命令示例
以下命令同时落实最小权限、只读根文件系统与命名空间隔离：
docker run --rm \<br> --security-opt=userns-remap=default \<br> --security-opt=no-new-privileges \<br> --security-opt=label=type:container_t \<br> --read-only \<br> --tmpfs /run --tmpfs /tmp \<br> --cap-drop=ALL --cap-add=NET_BIND_SERVICE \<br> -p 8080:80 \<br> myapp:prod
说明：
• --read-only 和 --tmpfs 配合避免持久化恶意写入；
• --cap-drop=ALL --cap-add=NET_BIND_SERVICE 是 capabilities 最小化实践，与 --security-opt 协同形成纵深防御；
• 所有 --security-opt 参数在容器启动瞬间生效，无需应用层适配。
注意事项与常见失效场景
• 宿主机内核必须启用 CONFIG_USER_NS=y，否则 userns-remap 会静默失败；
• 若 Docker daemon 未配置 userns-remap，单独使用 --security-opt=userns-remap=default 将报错 “userns-remap not enabled”；
• SELinux 标签需与宿主机策略匹配，错误类型（如 spc_t）可能导致容器无法启动；
• no-new-privileges 对已 setuid 的二进制无效，因此仍需在镜像中移除此类文件。
