linux capabilities 的安全边界核心是 capabilityboundingset 构建不可逾越的权限上限，必须启动前显式声明；ambientcapabilities 需配合 nonewprivileges=true 使用；应通过 strace/auditd 按需最小化授权，禁用 cap_sys_admin 等高危能力。
Linux Capabilities 的安全边界设计，核心在于用能力集合（尤其是 Bounding Set）建立不可逾越的权限上限，而非简单地“加能力”。它不是给进程松绑，而是先画牢笼，再开一扇刚好够用的门。
CapabilityBoundingSet：进程能力的硬性天花板
这是最根本的安全边界。一旦某个 capability 从 Bounding Set 中移除，该进程及其所有子进程——无论是否调用 setuid、execve 或继承 ambient 能力——都永远无法获得它。
- 必须在服务启动前通过 systemd 的
CapabilityBoundingSet=显式声明，例如：CapabilityBoundingSet=CAP_NET_BIND_SERVICE CAP_CHOWN - 切忌留空或写
CapabilityBoundingSet=~（表示不限制），这等于放弃边界控制 - 推荐做法是先列出所有需要的能力，再用
~取反来显式排除高危项，如：CapabilityBoundingSet=~CAP_SYS_ADMIN CAP_SYS_MODULE CAP_SYS_PTRACE
AmbientCapabilities：让非 root 进程安全继承特权
传统上，非 root 进程执行新程序后会丢失 effective 能力；Ambient 机制解决了这一痛点，使子进程能自动获得父进程指定的、已存在于 permitted 和 bounding 集合中的能力。
宝塔Linux面板11.8.1
下载
宝塔Linux面板11.8.1为官网当前正式版，新增AI建站能力并经过宝塔网站工程师深度调教，开放自定义AI功能API，同时对WAF进行界面重构和深度优化，提升拦截能力与运维效率。
- 仅当进程以非 root 用户身份运行，且需子进程继续使用某能力时才启用（如容器内应用调用 tcpdump）
- 必须配合
NoNewPrivileges=true使用，否则 ambient 能力可能被 setuid 二进制绕过 - systemd 示例：
AmbientCapabilities=CAP_NET_RAW+NoNewPrivileges=true+ 合理的CapabilityBoundingSet
最小化授权：按实际系统调用需求反推能力
不要凭经验猜测，而要观察真实行为。多数权限失败会返回 Operation not permitted，这是调整能力的明确信号。
- 用
strace -e trace=capset,setuid,setgid,bind,socket,openat运行服务，捕获触发拒绝的操作 - 结合
auditd规则（如-a always,exit -F arch=b64 -S capset）监控能力变更 - 常见精准映射：
CAP_NET_BIND_SERVICE（绑定 1024 以下端口）、CAP_NET_RAW（原始套接字抓包）、CAP_SYS_TIME（修改系统时间）、CAP_CHOWN（修改文件属主）
规避高危能力陷阱
某些 capability 实质等价于授予部分 root 权限，滥用即等于弱化整个边界模型。
-
CAP_SYS_ADMIN是“万能钥匙”，覆盖挂载、命名空间、sysctl 等数十种操作，除非是容器运行时（runc）或专用管理工具，否则禁用 -
CAP_SYS_PTRACE允许调试任意进程，可读取内存、注入代码，监控类工具若非必需，应避免启用 - 禁止对解释器（如
/usr/bin/python）直接 setcap，应封装为专用二进制或改用 systemd 的ExecStartPre=动态授予权限
