linux capability机制将root权限细分为独立能力单元，按需授予进程或文件，实现最小特权原则；例如监听80端口只需cap_net_bind_service，而非赋予cap_sys_admin等宽泛权限。

Linux 的 Capability 机制不是用来“绕过”权限，而是把 root 的大权拆成小块，按需分发。核心思路是：进程不需要 root 身份，只要拥有执行某类系统调用所必需的那个 capability 就行。

先搞清服务真正需要哪个 capability

盲目加 cap_net_admin 或 cap_sys_admin 是最常见错误——它们覆盖范围太广，极易被滥用。必须结合服务实际行为判断：

• 监听 80/443 端口？→ 只需 CAP_NET_BIND_SERVICE，不需 root
• 抓包（如 tcpdump/dumpcap）？→ CAP_NET_RAW + CAP_NET_ADMIN（仅当需设混杂模式）
• 修改系统时间？→ 单独给 CAP_SYS_TIME，避免连带获得其他管理权
• 挂载文件系统？→ CAP_SYS_ADMIN，但应严格限制挂载路径和 fstype，且优先考虑 user namespace 隔离
• 调试子进程（gdb/strace）？→ CAP_SYS_PTRACE，并确保 /proc/sys/kernel/yama/ptrace_scope = 1 防止跨用户追踪

在二进制文件上绑定 capability（推荐方式）

用 setcap 直接写入可执行文件，比运行时动态提权更稳定、更易审计：

PyCharm 2026.2.0.1 Linux版

PyCharm 2026.2.0.1 Linux版提供 JetBrains 官方 2026.2.0.1 版本安装包，适合需要指定 PyCharm 版本进行 Python 项目开发、运行和调试的用户。

下载

• 让 nginx 以普通用户监听 80 端口：
  sudo setcap 'cap_net_bind_service=+ep' /usr/sbin/nginx
• 撤销能力：
  sudo setcap -r /usr/sbin/nginx
• 查看当前设置：
  getcap /usr/sbin/nginx（输出类似 /usr/sbin/nginx = cap_net_bind_service+ep）

注意：setcap 不支持 shell 脚本（内核不解析 shebang 后的能力），也不作用于 noexec 挂载点上的文件。

容器中按需增删，拒绝 --privileged

Docker/Podman 默认已 drop 多数高危 capability，应在此基础上做减法而非加法：

• 只开必要项：
  docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE --cap-add=CHOWN nginx
• 禁用全部再精准添加：
  podman run --cap-drop=ALL --cap-add=SYS_CHROOT alpine chroot /tmp /bin/sh
• 绝对避免 --privileged：它等于开放全部 capability + 关闭 cgroup 隔离 + 绕过 seccomp/SELinux，等同于裸跑 root 容器

配合 inheritable 控制子进程权限传递

父进程即使有高权限，也不该无条件传给子进程。cap_inheritable 决定哪些能力能被 execve 后的程序继承：

• 启动时限制可继承集：
  capsh --inh=cap_net_bind_service -- -c "nginx -g 'daemon off;'"
• 这样即使 nginx fork 出 worker 进程，worker 也只继承 CAP_NET_BIND_SERVICE，无法调用 mount 或 setuid
• 搭配文件 capability 使用效果更佳：目标二进制本身没设 inheritable 位，则子进程哪怕父进程开了 cap_inheritable 也无法获得该能力