优先选capabilities而非suid，因suid程序被利用可获完整root权限，而capabilities仅授予必要子能力（如cap_net_bind_service），大幅缩小攻击面。
用 setcap 替代 SUID 实现网络特权控制，核心是只给进程它真正需要的那部分能力，而不是整个 root 权限。比如让普通用户运行的服务监听 80 端口，不需要 root 身份，只要 CAP_NET_BIND_SERVICE 就够了。
为什么优先选 capabilities 而不是 SUID
SUID 程序一旦被利用，攻击者直接获得完整 root 权限；而 capabilities 是按功能拆分的独立单元，哪怕程序有漏洞，也只能触发被授予的那项能力。例如：
-
/usr/bin/passwd加 SUID → 进程全程以 root 运行 → 可读写任意文件、加载模块、修改系统时间 -
/usr/sbin/nginx加cap_net_bind_service=+ep→ 仅能绑定 1024 以下端口 → 其他 root 操作全部拒绝
常用网络相关 capability 及对应场景
不是所有网络操作都需要高权限，关键要匹配服务实际行为：
- CAP_NET_BIND_SERVICE：绑定 1–1023 端口（如 nginx 监听 80、httpd 监听 443）
- CAP_NET_RAW：发送原始数据包（如 ping、tcpdump、nmap 扫描）
- CAP_NET_ADMIN：配置网络接口、路由表、防火墙规则（如 ifconfig、iptables、ip route）
- CAP_NET_BIND_SERVICE + CAP_NET_RAW：需同时监听端口并抓包（如某些代理调试工具）
设置与验证 capability 的标准流程
操作必须在可执行二进制文件上进行，不支持 shell 脚本或符号链接：
- 添加能力：
sudo setcap 'cap_net_bind_service=+ep' /usr/sbin/nginx - 查看是否生效：
getcap /usr/sbin/nginx→ 输出应为/usr/sbin/nginx = cap_net_bind_service+ep - 撤销能力：
sudo setcap -r /usr/sbin/nginx - 批量查找已设能力的文件：
getcap -r / 2>/dev/null
生产环境安全加固要点
避免“一加了之”，要配合运行时约束和最小继承原则：
- 禁止对解释器（如 python、perl）或调试工具（gdb、strace）盲目加 capability，它们可能被用于提权链
- 子进程默认不继承父进程的能力，如需传递，得同时设置文件的
inheritable位：sudo setcap 'cap_net_bind_service=+eip' /usr/local/bin/myserver - Docker/Podman 中应先
--cap-drop=ALL，再精准--cap-add=NET_BIND_SERVICE，绝不使用--privileged - 配合
/proc/sys/net/ipv4/ip_unprivileged_port_start（Linux 5.12+）可将特权端口下限调至非 0，进一步减少对 capability 的依赖
