docker run -d --name nginx-test nginx-alpine:1.29
docker exec nginx-test id
docker rm -f nginx-test
docker run -d --name nginx-user --user 888:888 nginx-alpine:1.29
docker exec nginx-user id
docker exec nginx-user ps -o pid,user,args
docker rm -f nginx-user

docker run -d --name nginx-ro --read-only \
  --tmpfs /tmp:rw,noexec,nosuid,size=64m \
  nginx-alpine:1.29

[root@ubuntu24-13 ~ ]# docker logs 16bffd10faa5
nginx: [alert] could not open error log file: open()
"/data/server/nginx/logs/error.log" failed (30: Read-only file system)
... [emerg] 1#0: mkdir() "/data/server/nginx/client_body_temp" failed (30: Read-only file system)

docker run --rm busybox sh -c 'echo hello > /tmp/test.txt && cat /tmp/test.txt'
docker run --rm --read-only busybox sh -c 'echo hello > /tmp/test.txt'
docker run --rm --read-only --tmpfs /tmp:rw,noexec,nosuid,size=16m \
  busybox sh -c 'echo hello > /tmp/test.txt && cat /tmp/test.txt'

docker run --rm nginx-alpine:1.29 sh -c 'grep "^Cap" /proc/1/status'
docker run --rm --user 888:888 --cap-drop=ALL \
  nginx-alpine:1.29 sh -c 'id; grep "^Cap" /proc/1/status'

# 以下命令省略认证，仅用于隔离测试环境；端口只绑定本机
docker run -d -p 127.0.0.1:6379:6379 --name ruoyi-vue-redis ruoyi-vue-redis:v1
docker run -d -p 127.0.0.1:3306:3306 --name ruoyi-vue-mysql mysql:oraclelinux9
docker run -d -p 127.0.0.1:8080:8080 --name ruoyi-admin ruoyi-admin:v1
docker run -d -p 127.0.0.1:8081:80 --name ruoyi-vue-nginx ruoyi-vue-nginx:1.29.0

未使用非 root 身份：进程被攻破后的影响范围可能更大
数据库端口对外发布：增加未授权访问和暴力破解风险
根文件系统可写、权限未收敛：可能扩大入侵后的持久化能力
未限制日志大小：日志增长可能占满磁盘
未配置健康检查和重启策略：故障不易发现或恢复

1. 镜像安全：Trivy 漏洞扫描
2. 非root运行：使用镜像支持的普通用户
3. 只读根文件系统：--read-only + --tmpfs
4. Capabilities最小化：--cap-drop=ALL --cap-add=...
5. 日志管理：--log-opt max-size/max-file
6. 健康检查：--healthcheck-*
7. 重启策略：--restart

curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh \
  | sudo sh -s -- -b /usr/local/bin
ls /usr/local/bin/trivy

trivy image <镜像:标签>

# 仅在组织信任并维护该镜像源时，替换默认漏洞数据库仓库
trivy image \
  --db-repository ghcr.nju.edu.cn/aquasecurity/trivy-db:2 \
  --java-db-repository ghcr.nju.edu.cn/aquasecurity/trivy-java-db:1 \
  <镜像:标签>

# 输出 JSON，供 CI 归档或后续处理
trivy image --format json --output result.json <镜像:标签>

# 让指定严重级别的漏洞使命令返回非零状态，供 CI 阻断
trivy image --exit-code 1 --severity HIGH,CRITICAL <镜像:标签>

trivy image --severity HIGH,CRITICAL ruoyi-vue-redis:v1
trivy image --severity HIGH,CRITICAL mysql:oraclelinux9
trivy image --severity HIGH,CRITICAL ruoyi-admin:v1
trivy image --severity HIGH,CRITICAL ruoyi-vue-nginx:1.29.0

read -rsp 'Redis password: ' REDIS_PASSWORD; export REDIS_PASSWORD; echo
docker network inspect ruoyi-internal >/dev/null 2>&1 || docker network create ruoyi-internal
docker run -d --name ruoyi-vue-redis --network ruoyi-internal \
  --restart=unless-stopped --read-only --tmpfs /tmp:rw,noexec,nosuid,size=16m \
  --cap-drop=ALL --security-opt no-new-privileges \
  --log-opt max-size=10m --log-opt max-file=3 \
  -e REDIS_PASSWORD -v /data/ruoyi-vue/redis/data:/data \
  ruoyi-vue-redis:v1

--read-only                 # 根文件系统只读，防止篡改
--tmpfs /tmp                # Redis临时文件写到内存，重启即清
--cap-drop=ALL              # Redis不需要任何特权能力
--log-opt max-size=10m      # 日志单文件最大 10MB
--log-opt max-file=3        # 最多保留 3 个日志文件
--restart=unless-stopped    # 崩溃自动重启，手动停止后不自动拉起

REDISCLI_AUTH="$REDIS_PASSWORD" redis-cli -h ruoyi-vue-redis info Replication

read -rsp 'MySQL root password: ' MYSQL_ROOT_PASSWORD; export MYSQL_ROOT_PASSWORD; echo
read -rsp 'RuoYi database password: ' MYSQL_PASSWORD; export MYSQL_PASSWORD; echo
docker run -d --name ruoyi-vue-mysql --network ruoyi-internal \
  --restart=unless-stopped -e TZ=Asia/Shanghai \
  -e MYSQL_ROOT_PASSWORD -e MYSQL_DATABASE=ry_vue \
  -e MYSQL_USER=ruoyi -e MYSQL_PASSWORD \
  --log-opt max-size=10m --log-opt max-file=3 \
  -v /data/ruoyi-vue/mysql/sql:/tmp/sql:ro \
  -v ruoyi-mysql-data:/var/lib/mysql mysql:oraclelinux9 \
  --character-set-server=utf8mb4 --collation-server=utf8mb4_unicode_ci

--restart=unless-stopped    # 崩溃自动重启，手动停止后不自动拉起

# 数据库初始化
docker exec -i -e MYSQL_PWD="$MYSQL_ROOT_PASSWORD" ruoyi-vue-mysql mysql -uroot ry_vue < /data/ruoyi-vue/mysql/sql/ry_schema.sql
# 确认效果
docker exec -e MYSQL_PWD="$MYSQL_ROOT_PASSWORD" ruoyi-vue-mysql mysql -uroot -e "show tables from ry_vue;"
docker exec -e MYSQL_PWD="$MYSQL_ROOT_PASSWORD" ruoyi-vue-mysql mysql -uroot -e "select menu_name from ry_vue.sys_menu;"

docker run -d --name ruoyi-admin --network ruoyi-internal --restart=unless-stopped \
  -p 127.0.0.1:8080:8080 -e TZ=Asia/Shanghai \
  -e JAVA_OPTS="-Xms256m -Xmx512m" ruoyi-admin:v1

浏览器访问：http://127.0.0.1:8080/druid

docker run -d --name ruoyi-vue-nginx --network ruoyi-internal --restart=unless-stopped \
  -p 127.0.0.1:8081:80 -e TZ=Asia/Shanghai --user nginx:nginx --cap-drop=ALL \
  --security-opt no-new-privileges --log-opt max-size=10m --log-opt max-file=3 \
  --health-cmd="wget -q --spider http://127.0.0.1:80/" \
  --health-interval=30s --health-timeout=3s --health-retries=3 \
  ruoyi-vue-nginx:1.29.0

--cap-drop=ALL              # 移除默认 capabilities；需验证服务是否仍能正常运行
--log-opt max-size=10m      # 单个日志文件最大 10MB
--log-opt max-file=3        # 最多保留 3 个文件

浏览访问：http://127.0.0.1:8081

curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh \
  | sudo sh -s -- -b /usr/local/bin
ls /usr/local/bin/trivy

# 扫描镜像
trivy image <镜像:tag>
# 网络受限时，仅使用组织维护且信任的漏洞数据库镜像
trivy image --db-repository <可信数据库仓库> <镜像:tag>

# 筛选高危和严重漏洞，并在发现时返回非零状态
trivy image --severity HIGH,CRITICAL --exit-code 1 <镜像:tag>
# 输出 JSON 报告
trivy image --format json --output result.json <镜像>

trivy image --severity HIGH,CRITICAL ruoyi-admin:v1

if trivy image --severity HIGH,CRITICAL --exit-code 1 ruoyi-admin:v1; then
  echo '扫描通过'
else
  echo '发现高危或严重漏洞，阻断推送'
  exit 1
fi

# 扫描部署项目的目录
trivy filesystem /data/ruoyi-vue/ruoyi-admin/file/
# 输出 JSON 报告供归档，并查看漏洞名称
trivy image --format json --output /tmp/trivy-ruoyi-admin.json ruoyi-admin:v1
jq '.Results[].Vulnerabilities[] | select(.Severity=="CRITICAL") |
.VulnerabilityID' /tmp/trivy-ruoyi-admin.json

# 输出 JSON 报告供归档
trivy image --severity HIGH,CRITICAL --format json --output alpine-report.json alpine:3.24.0

[root@ubuntu24-13 ~ ]# trivy image --format json --output /tmp/trivy-ruoyi-admin.json ruoyi-admin:v1
[root@ubuntu24-13 ~ ]# jq '.Results[].Vulnerabilities[] |
select(.Severity=="CRITICAL") | .VulnerabilityID' /tmp/trivy-ruoyi-admin.json

定制一个能用的，但是出现各种问题的Dockerfile
  # 非官方精简版、版本不固定
  FROM nginx:latest
  # 硬编码密码
  RUN echo "root:123456" | chpasswd
  # 保留编译工具
  RUN apt-get update && apt-get install -y gcc make
  # 层未合并
  RUN apt-get install -y curl zip
  EXPOSE 80
  # root 运行
  CMD ["nginx"]

# ===== 运行阶段 =====
FROM nginx-alpine:1.29
ENV NGINX_DIR=/data/server/nginx
# 版本固定,多层合并
RUN apk --no-cache add tzdata && \
    ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
# 创建运行时目录并设置所有者
RUN mkdir -p ${NGINX_DIR} && chown nginx:nginx ${NGINX_DIR} && chmod 750 ${NGINX_DIR}
# 非root用户运行
USER nginx
EXPOSE 8080
CMD ["nginx", "-g", "daemon off;"]

# 构建镜像
docker build -t nginx-base-safe:v1 .
# 检查是否非 root
docker run --rm nginx-base-safe:v1 id
# 扫描镜像漏洞
trivy image nginx-base-safe:v1

容器内启动Shell: 攻击者常先起/bin/bash做后续操作
敏感文件读取: 如读取/etc/shadow、/etc/passwd
特权容器创建: 检测到--privileged容器被拉起
非预期出站连接: 容器向未知外部IP发起连接
写入敏感目录: 如写入/etc、/root

文件名：falco_rules.yaml

- rule: 规则名字
  desc: 规则描述
  condition: 规则判断条件
  output: 输出信息
  priority: 问题级别

docker pull falcosecurity/falco:<固定版本>

docker logs -f falco

# 容器A：故意读取/etc/shadow
docker run --rm --name victim -it alpine:3.24 sh -c "cat /etc/shadow"

[root@ubuntu24-13 ~ ]# docker logs falco
...
# 出现如下信息提示
...: Warning Sensitive file opened for reading by non-trusted program |
file=/etc/shadow gparent=systemd ...

- list: my_private_files
  items: [/etc/shadow, /etc/gshadow]

- rule: Read sensitive account files
  desc: Detect reads of local account database files
  condition: evt.type in (open, openat) and fd.name in (my_private_files) and evt.is_open_read=true
  output: "Sensitive account file opened for reading (file=%fd.name user=%user.name process=%proc.name container=%container.name)"
  priority: WARNING

# 按本机内核和驱动选择官方启动参数，将规则文件只读挂载到 /etc/falco/rules.d/。

# 容器A：故意读取/etc/shadow
docker run --rm --name victim -it alpine:3.24 sh -c "cat /etc/shadow"

[root@ubuntu24-13 ~ ]# docker logs falco
...
# 可以看到如下的信息内容
...: Warning Sensitive account file opened for reading (file=/etc/shadow ...)