只读根文件系统需显式启用并协同控制可写路径、非root用户、能力裁剪才能生效：用--read-only或readonlyrootfilesystem:true锁死/etc、/bin等路径，配合--tmpfs挂载/tmp、/run等必要可写内存路径，且所有卷挂载须严格限定读写权限与路径范围。
只读根文件系统不是“开了就安全”的开关，而是运行时数据边界的硬性起点——它把 /etc、/bin、/usr、/lib 等系统路径彻底锁死，让攻击者无法写入后门二进制、篡改配置或植入恶意模块。但真正起效的前提是：它必须和可写路径的精确控制、用户权限隔离、能力裁剪协同落地。
明确只读范围与生效验证
在 Docker 中使用 --read-only，或在 Kubernetes 中设置 securityContext.readOnlyRootFilesystem: true，会使整个容器根目录（/）以只读方式挂载。这不是“默认行为”，需显式声明。
验证是否生效的方法很直接：
- 进入容器执行 mount | grep "on / type"，输出中应包含 ro（如
overlay on / type overlay (ro,relatime,...)） - 尝试创建测试文件：touch /test，返回 Read-only file system 即表示成功
为必需路径提供受控可写空间
只读 ≠ 完全不能写。应用仍需写 PID、socket、临时解压包、运行时日志等。关键在于：不开放整个根目录，而只用 tmpfs 或 emptyDir 挂载最小必要路径，且限定大小与权限。
-
/tmp：挂载
--tmpfs /tmp:rw,size=10M（Docker）或emptyDir: { medium: Memory, sizeLimit: 10Mi }（K8s） - /run 和 /var/run：必须挂载，Nginx、Supervisord、.NET runtime 等强依赖此路径存 socket 与 PID 文件，建议各分配 5M
- /var/log：仅当应用坚持本地落盘日志才挂载；更推荐统一改用 stdout/stderr 输出，由日志采集器统一处理
严格限定持久化卷的挂载路径与权限
任何挂载到容器内的卷，都是潜在的数据通道。加固原则是：只挂载真正需要的路径，且按用途区分读写权限。
- 上传目录：用命名卷
-v upload-data:/app/uploads:rw，避免 bind mount 宿主机路径 - 运行时状态（如 Redis AOF、数据库 WAL）：挂载专用命名卷，路径唯一、权限仅限容器内业务用户
- 证书、静态资源、配置文件：一律使用 :ro 显式声明只读，例如
-v cert-volume:/etc/tls:ro - 绝对禁止：
-v /etc:/etc:rw、-v /root:/host-root:ro等宿主机敏感路径映射
协同最小权限机制构建纵深防线
只读根文件系统单独存在时，防御效果有限。它必须嵌入完整的权限收缩链条中：
- 以非 root 用户运行：Docker 使用 --user 1001:1001，K8s 设置 runAsNonRoot: true + runAsUser: 1001，并在镜像中通过 USER 指令固化
- 裁剪 Linux capabilities：默认启用约 40 个能力，应 --cap-drop=ALL 后仅按需添加，如 --cap-add=NET_BIND_SERVICE（绑定 80/443 端口）
- 镜像构建阶段清理冗余：删除包缓存、调试工具、文档、shell 历史等，缩小初始攻击面
