要让 docker 容器真正起到安全沙箱作用，必须从用户权限、网络、系统调用、文件系统、资源五个维度同步加固：强制非 root 运行（user 指令 + --user + userns-remap）、--network none、--read-only + --tmpfs、--cap-drop all + 按需 cap-add、严格 seccomp 白名单、硬性资源限制与自动清理。
要让 Docker 容器真正起到安全沙箱作用，不能只靠默认启动——必须主动关闭默认宽松项、显式启用隔离机制。核心是“默认拒绝、最小授权”，从用户权限、网络、系统调用、文件系统、资源这五个维度同时加固。
禁用特权，强制非 root 运行
容器默认以 root 身份运行，一旦逃逸即等同宿主机 root。必须切断这条路径：
- 镜像构建时用 USER 1001:1001 指令切换到低权限用户
- 运行时加 --user "1001:1001" 强制覆盖（即使镜像里写了 USER）
- Docker daemon 级开启 userns-remap：在 /etc/docker/daemon.json 中添加
"userns-remap": "default"，让容器内 root 映射为宿主机上一个无权用户
关闭网络与挂载风险
绝大多数沙箱场景不需要外网或宿主机路径访问，留着就是后门：
- 彻底断网：--network none（不走 host 或 bridge）
- 禁止挂载敏感路径：不使用 -v /etc:/host-etc 类写法；如需配置，改用 --read-only + --tmpfs /run:rw,size=16m
- 根文件系统设为只读：--read-only，再通过 --tmpfs 单独开放必要可写区域（如
/tmp、/run）
裁剪系统调用与 Linux 能力
Seccomp 和 Capabilities 是防逃逸的关键防线，别依赖默认策略：
- 丢弃所有能力：--cap-drop ALL，再按需添加（如 Web 服务只需
--cap-add NET_BIND_SERVICE） - 启用严格 Seccomp 策略：--security-opt seccomp=./seccomp-restrictive.json，白名单只保留
read、write、openat等基础调用，禁用ptrace、mount、clone等高危项 - 如宿主机支持 AppArmor/SELinux，可进一步加载定制策略限制路径访问和网络行为
硬性资源限制与自动清理
防止耗尽宿主机资源，尤其对 AI Agent 类动态执行场景至关重要：
- 内存上限：--memory 512m --memory-swap 512m
- CPU 配额：--cpus 1.0 --cpu-quota 100000（避免突发抢占）
- 进程数限制：--pids-limit 32
- 空闲超时自动销毁：配合脚本或工具（如 OpenClaw 的
auto-cleanup），设置容器创建超 7 天或空闲超 24 小时即docker rm -f
