Podman rootless模式下User=xxx有效且安全，因无需root守护进程；而Docker中User字段无效或危险，因其依赖root权限的dockerd且加入docker组等价于root权限。

不能直接在 systemd 单元文件中用 User 和 Group 安全运行容器进程——因为绝大多数容器运行时（如 Docker、Podman）本身要求 root 权限启动守护进程，且容器内进程的用户切换由容器引擎控制，不是靠 systemd 的 User/Group 字段实现的。

为什么 User=xxx 在容器服务里通常无效或危险

systemd 的 User 和 Group 字段只作用于 ExecStart 启动的主进程本身。如果你写：

[Service]
User=appuser
ExecStart=/usr/bin/docker run --rm nginx

这会让 docker 命令以 appuser 身份执行，但 docker CLI 会向 root 权限的 dockerd 守护进程发请求——而该守护进程默认只允许 root 或 docker 组成员访问 Unix socket（/var/run/docker.sock）。普通用户若被加进 docker 组，就等价于获得 root 权限（可挂载宿主机任意路径、逃逸、读取敏感文件），违背“低权限”初衷。

真正安全的做法：绕过 dockerd，用 rootless 容器运行时

现代方案是弃用传统 dockerd，改用原生支持 rootless 模式的容器引擎，它们不依赖全局守护进程，全程以普通用户身份运行：

• Podman（推荐）：默认支持 rootless，无需 daemon，通过 fork-exec 启动容器；用户级网络、存储、命名空间全部隔离。
• nerdctl + containerd-rootless：配合 rootless containerd，适合需要兼容 Docker CLI 语义的场景。

配置示例（Podman rootless）：

[Unit]
Description=My App via Podman
After=network.target
<p>[Service]
Type=simple
User=appuser
Group=appgroup
WorkingDirectory=/home/appuser/myapp
ExecStart=/usr/bin/podman run --rm -p 8080:80 -v /home/appuser/myapp/html:/usr/share/nginx/html nginx
Restart=on-failure
RestartSec=10
Environment=HOME=/home/appuser</p><h1>必须设置 XDG_RUNTIME_DIR，否则 rootless podman 无法初始化</h1><p>Environment=XDG_RUNTIME_DIR=/run/user/%i</p><div class="aritcle_card flexRow artxards">
											<div class="artcardd flexRow">
												<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill12703" title="Docker Hub"><img
														src="https://img.php.cn/upload/skill/001/246/273/6adaf20e695c2374.jpg" alt="Docker Hub" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
												<div class="aritcle_card_info flexColumn">
													<a rel="nofollow" href="/xiazai/skill12703" title="Docker Hub" class="overflowclass">Docker Hub</a>
													<p class="overflowclass">Docker Hub (hub.docker.com)。此技能适用于所有 Docker Hub 操作，包括读取、创建、更新和删除数据。只要任务涉及 Docker Hub，就使用此技能。</p>
												</div>
												<a rel="nofollow" href="/xiazai/skill12703" title="Docker Hub" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
												</a>
											</div>
										</div><p>[Install]
WantedBy=default.target</p>

关键点：

• User=appuser 真正生效——整个 podman 进程及其子容器都运行在该用户上下文中
• XDG_RUNTIME_DIR 必须显式设置（systemd 不自动为非登录用户设此变量），否则报 could not create runtime directory
• 容器内应用仍可用 nginx 默认用户（www-data），与宿主用户完全隔离

如果必须用 Docker，最低限度加固方式

仅限测试或可信环境，不推荐生产：

• 创建专用受限用户：useradd -r -s /bin/false dockersvc
• 将该用户加入 docker 组：usermod -aG docker dockersvc
• 在 service 文件中指定：User=dockersvc，并禁用交互式 shell
• 严格限制容器能力：ExecStart=... --cap-drop=ALL --read-only --tmpfs /run --tmpfs /tmp
• 绝不挂载 /、/etc、/proc 等宿主敏感路径

⚠️ 注意：只要在 docker 组里，该用户就具备提权能力，不属于真正的“低权限运行”。

验证是否真以普通用户运行

启用服务后检查：

• systemctl --user status myapp.service（rootless）或 systemctl status myapp.service（系统级）
• ps aux | grep myapp —— 查看进程 UID 是否匹配目标用户
• podman ps --format "{{.ID}} {{.Status}} {{.User}}" --all（rootless）确认容器用户字段