【操作系统百科】POSIX capabilities
为什么 setuid root 早该被 capabilities 取代？cap sets（permitted/effective/inheritable/bounding/ambient）、file caps、容器内 capabilities——本文讲 Linux 的细粒度权限模型。
capabilities 标签归档
共 2 篇文章 · 返回首页
【从零造容器】Seccomp-BPF 与 Capabilities：容器安全的两道防线
你的容器能调用 reboot()。是的，现在就能。除非有人拦住它。Capabilities 拆分 root 权限，Seccomp-BPF 过滤系统调用——两道防线，缺一不可。本文用 C 代码拆解这两套机制，看看 Docker 到底替你挡住了什么。