最极限的缩减方式是--cap-drop=ALL后白名单式添加必需能力，因其强制清空Docker默认启用的14–20项基础capability（如NET_RAW、AUDIT_WRITE），彻底规避冗余授权风险，再按应用真实需求精准补回如NET_BIND_SERVICE等极少数能力，并需协同--user、--read-only、no-new-privileges等措施堵住提权路径。
最极限的缩减方式是 --cap-drop=ALL，再按需用 --cap-add 补回极少数必需能力——这不是“去掉几个”，而是清空全部后白名单式重建。
为什么 ALL 是真正的极限起点
Docker 默认启用约 14–20 项基础 capability（如 CHOWN、NET_BIND_SERVICE、KILL），看似克制，实则隐含冗余。比如默认包含 NET_RAW 或 AUDIT_WRITE，多数 Web 服务完全用不到。--cap-drop=ALL 强制归零，让权限从“减法”转为“加法”，彻底规避默认集带来的误授权风险。
清空后必须补哪些能力？看场景定
补能力不是凭经验猜，而是依据应用真实行为决定。常见最小集合如下：
-
只监听 80/443 端口的 Web 服务：只需
--cap-add=NET_BIND_SERVICE，其余全免 -
纯计算型容器（如 Python 数据处理）：通常无需任何 capability，
--cap-drop=ALL即可启动 -
需要修改文件属主或权限的工具：额外加
--cap-add=CHOWN和--cap-add=DAC_OVERRIDE -
需同步系统时间的服务：仅加
--cap-add=SYS_TIME，不连带开放其他 sys-admin 类能力
单靠 cap-drop=ALL 不够，必须协同收紧
能力清零只是第一步，还需堵住其他提权路径：
- 用
--user 1001:1001强制非 root 用户运行，避免 UID=0 自动获得隐式能力 - 加
--read-only锁死根文件系统，防止写入恶意二进制或配置 - 配
--security-opt no-new-privileges:true，禁止进程后续获取新权限 - 对必要临时目录（如 /tmp、/run），用
--tmpfs显式挂载，不开放全局可写层
验证是否真被限制住了
进容器后执行：capsh --print —— 直观查看当前生效的能力列表cat /proc/self/status | grep CapEff —— 查十六进制有效能力掩码，对照 capability 位图解码确认
若只看到 NET_BIND_SERVICE 对应的位被置位，其余均为 0，说明已达成极限收敛。
