在 macOS 上通过 Atom 远程调试 Docker 容器内的 Go 应用时，常因容器默认禁止 ptrace 系统调用而报错 fork/exec ./debug: operation not permitted；根本解决方法是启用非受限的 seccomp 策略。
在 macos 上通过 atom 远程调试 docker 容器内的 go 应用时，常因容器默认禁止 ptrace 系统调用而报错 `fork/exec ./debug: operation not permitted`；根本解决方法是启用非受限的 seccomp 策略。
Delve（dlv）依赖 ptrace(2) 系统调用来实现断点设置、寄存器读写和进程控制等核心调试功能。然而，Docker 默认采用严格的安全策略（基于 seccomp BPF 过滤器），会显式拒绝 ptrace 及相关系统调用（如 process_vm_readv、process_vm_writev），导致 dlv debug 启动目标二进制时失败，抛出 operation not permitted 错误——该错误与宿主机代码签名、macOS 权限或容器内是否安装 sudo 完全无关。
✅ 正确解决方案是在启动容器时显式放宽 seccomp 限制：
docker run -it \ --security-opt seccomp=unconfined \ -v $(pwd):/go/src/app \ -w /go/src/app \ golang:1.22 \ sh -c "go get github.com/derekparker/delve/cmd/dlv && dlv debug hello.go"
⚠️ 注意事项：
- --security-opt seccomp=unconfined 会禁用所有 seccomp 过滤，仅建议用于开发/调试环境，切勿在生产容器中使用；
- 若需更精细控制，可自定义 seccomp JSON 配置文件，显式添加 ptrace、capget、process_vm_* 等必要调用（参考 Docker seccomp 文档）；
- 在 macOS 上使用 Docker Desktop 时，该参数同样生效（底层仍由 LinuxKit VM 执行），无需额外处理宿主机签名；
- 确保容器内已安装 dlv（推荐 go install github.com/derekparker/delve/cmd/dlv@latest 替代过时的 go get）；
- 若后续需支持远程调试（如 Atom 的 go-debug 插件），请追加 -r :2345 并映射端口：-p 2345:2345。
总结：该问题本质是容器安全机制与调试工具底层需求的冲突，而非权限或路径错误。通过合理配置 seccomp，即可在保持开发效率的同时兼顾基础安全性。
