落地docker容器安全策略基线需坚持“最小化、可验证、可执行”原则，聚焦镜像构建、容器运行、宿主环境、网络与访问控制四环节刚性约束。
要落地一套切实可用的 Docker 容器安全策略基线配置，核心不是堆砌所有功能，而是围绕“最小化、可验证、可执行”三个原则，在镜像构建、容器运行、宿主环境、网络与访问控制四个关键环节做刚性约束。下面分四块说清楚怎么做、为什么这么做、以及容易踩的坑。
镜像构建阶段：从源头掐断风险
镜像是一切的起点，不安全的镜像等于给攻击者递钥匙。
-
强制使用可信官方或私有认证镜像：只允许拉取 Docker Hub 官方镜像（如
nginx:alpine）或企业 Harbor 中已启用 Content Trust 签名的镜像；禁用未签名镜像拉取：export DOCKER_CONTENT_TRUST=1，并在 CI 流水线中校验签名失败则中断构建。 -
基础镜像必须精简：优先选
alpine:3.20或debian:slim，避免ubuntu:latest这类含完整包管理器和调试工具的大镜像；多阶段构建中，构建阶段用golang:1.22，最终运行阶段只 COPY 二进制文件到scratch或alpine。 -
构建时清理不留痕：安装依赖后立即删除缓存（
apk add --no-cache）、清除构建中间件（RUN rm -rf /var/cache/apk/*），禁止在镜像里保留git、curl、vim等非运行必需工具。
容器运行时：权限收缩 + 能力裁剪
默认 root 运行、全能力开放，等于把整台宿主机的钥匙交出去。
-
必须指定非 root 用户：Dockerfile 中显式创建用户并切换：
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001，再USER appuser；验证方式：容器启动后执行ps aux | grep -v USER | head -1，确认 UID 不为 0。 -
禁用特权模式与危险能力：禁止使用
--privileged；确需特定能力时，白名单式添加，例如仅需绑定低端口：--cap-add=NET_BIND_SERVICE --cap-drop=ALL；默认应 drop 所有能力：--cap-drop=ALL。 -
挂载只读与不可变路径：对代码目录、配置目录设为只读：
-v /app:/app:ro；敏感路径如/etc/passwd、/proc、/sys显式屏蔽：--tmpfs /tmp:rw,size=10m --read-only。
宿主机与守护进程：守住最后一道门
Docker 守护进程是容器世界的“操作系统内核”，它的配置直接决定整个集群是否可信。
-
关闭未加密远程 API：确保
/etc/docker/daemon.json中无"hosts": ["tcp://0.0.0.0:2375"]；如需远程管理，必须启用 TLS 双向认证，并将 socket 权限严格限制：chown root:docker /var/run/docker.sock && chmod 660 /var/run/docker.sock。 -
启用用户命名空间映射：在 daemon.json 中配置：
"userns-remap": "default"，让容器内 UID 1001 映射到宿主机上一个非特权范围（如 100000+），即使容器逃逸也无法直接对应宿主高权限用户。 -
限制资源防 DoS：默认为每个容器设置硬限制：
--memory=512m --memory-swap=512m --cpus=1.0 --pids-limit=100；生产环境建议通过cgroups v2统一管控，避免单个容器耗尽内存或 fork 炸裂。
网络与敏感数据：隔离 + 加密 + 验证
网络是横向移动通道，密钥是命脉，两者必须零容忍裸露。
-
禁用默认 bridge，强制使用自定义网络：删除或禁用
docker0网桥；所有服务部署前先创建带子网和网关的自定义网络：docker network create --subnet=192.168.100.0/24 --gateway=192.168.100.1 app-net；跨服务通信需显式连接，禁止--network host。 -
敏感数据绝不硬编码：Docker Compose 中禁用
environment:明文写密码；改用secrets:（Swarm）或env_file:（配合.env文件且该文件不提交 Git）；Kubernetes 场景下统一走Secret对象，挂载为 volume。 -
镜像上线前自动卡点：CI 流水线集成 Trivy 扫描：
trivy image --severity CRITICAL,HIGH --exit-code 1 your-app:latest；CVSS ≥ 7.0 的漏洞必须修复或出具豁免审批，否则阻断发布。
这套基线不是一次性配置，而应固化为组织级标准——写进内部 Dockerfile 模板、嵌入 CI/CD 流水线检查项、纳入 IaC（如 Terraform）声明式部署清单。不复杂但容易忽略。
