Linux Capability 机制是一种细粒度的权限控制方案，它允许将超级用户权限拆分成独立的单元，从而避免以 root 身份运行整个程序，显著提升系统安全性。
什么是 capability linux，它解决了什么问题
传统 Linux 权限模型下，要执行特权操作（如绑定低端口、修改系统时间）通常只有两种方式：直接以 root 身份运行程序，或者给程序设置 suid 位，前者意味着整个程序拥有无限制的 root 权限，潜在风险巨大；后者则让普通用户执行该程序时临时获得文件属主的权限，同样权限过大。
![[Linux] Linux 查看硬件配置（screenfetch;lscpu;lsmem;hostnamectl;dmidecode）](https://i2.hdslb.com/bfs/archive/57c8f9cf490321781e3018a534dd90f6e65d5e45.jpg)
capability linux 机制正是为了解决这个问题而生，它把 root 权限细分为几十个独立的能力（capability），CAP_NET_BIND_SERVICE 允许程序绑定低于 1024 的端口，CAP_DAC_OVERRIDE 允许绕过文件权限检查，CAP_SYS_TIME 允许修改系统时钟，程序只需要获得它真正需要的那几个能力，不需要也不应该拥有完整 root 权限。
业内专家指出,这种最小权限原则是现代安全架构的基石，capability 机制从 Linux 2.2 开始引入，经过多年发展，已经成为容器安全、服务权限隔离等场景的核心工具。
capability linux 如何设置：从基础到实战
查看已有 capability
使用 getcap 命令查看某个文件被赋予的 capability：
getcap /usr/bin/ping通常情况下,ping 可能被设置了 cap_net_raw+ep，表示它可以发送原始网络包。
设置和移除 capability
使用 setcap 命令为可执行文件添加 capability：
setcap cap_net_bind_service+ep /usr/local/bin/myapp+ep 表示添加 effective 和 permitted 集合，适用于传统赋予方式，如果想删除，则用 -r 参数：
setcap -r /usr/local/bin/myapp在运行时管理 capability
对于已经运行的程序,可以通过 capsh 工具或直接在代码中调用 capset 系统调用来丢弃或保留能力，启动一个 bash 并丢弃所有能力：
capsh --drop=all -- -c "echo hello"容器环境中的 capability 管理
在 Docker 容器中，默认会限制大部分 capability，只保留少数必要项，运行时可以通过 --cap-add 和 --cap-drop 精确控制：
docker run --cap-add=NET_ADMIN --cap-drop=ALL mycontainerCompose 文件中也支持对应的 cap_add 和 cap_drop 配置，这种细粒度控制是容器安全的重要环节。
capability linux 对比 suid：权限管理的进化
权限粒度
- suid：让普通用户以文件属主（通常是 root）身份执行整个程序，所有权限一次给出。
- capability：只赋予程序所需的具体能力，比如只给
CAP_NET_BIND_SERVICE，不给其他任何权限。
安全性
多数情况下,suid 程序一旦存在漏洞，攻击者可以直接获得 root shell，而 capability 机制限制了程序能做什么，即使被攻破，攻击者也只能在已赋予的能力范围内活动，行业共识认为，capability 在同等功能下比 suid 更安全。
可维护性
- suid：设置简单，但审计困难，一个 suid 二进制可能隐藏着未知风险。
- capability：通过
getcap可以清晰列出所有被赋予能力的文件，配合setcap随时调整，管理更透明。
实际场景选择
如果需要一个普通用户通过命令绑定 80 端口，使用 suid 就让整个程序有了 root 权限，而使用 cap_net_bind_service+ep 则只给绑定低端口的能力，其他操作仍然受限，因此现代服务部署中，更推荐使用 capability 替代传统的 suid 方案。
场景：capability linux 在容器场景中的权限控制
容器默认运行在受限的 capability 集合下，这本身就比普通进程安全，但有些业务需要额外能力，
- 网络管理：需要
NET_ADMIN来修改 iptables 或路由表。 - 系统时间：需要
SYS_TIME来调整容器内时钟。 - 设备操作：需要
SYS_RAWIO来访问特定硬件。
在 docker-compose 中配置示例：
services:
myapp:
image: myapp
cap_add:
- NET_ADMIN
cap_drop:
- ALL
通过先 cap_drop: ALL 再添加所需能力，实现最小权限原则，这是容器安全加固的标准做法。
常见误区和注意事项
- 不是所有程序都支持 capability：有些老旧的 suid 程序无法通过 capability 直接替换，需要程序内部使用
libcap或系统调用主动管理能力。 - 脚本文件无法直接设置 capability：因为脚本通常由解释器执行，capability 绑定在解释器上，可以通过设置解释器的 capability 或使用包装二进制来解决。
- capability 不叠加：如果文件本身有 suid，capability 设置通常会被忽略，两者不能混用。
- ambient capability：对于需要将能力传递给子进程的场景，需要设置 ambient 集合，否则子进程会丢失能力。
常见问题解答
capability linux 如何设置让普通用户也能绑定低端口
给需要绑定低端口的可执行文件添加 cap_net_bind_service+ep，然后普通用户直接运行该程序即可，不需要 suid，也不需要 sudo。
capability 和 suid 哪个更安全
capability 更安全，因为它遵循最小权限原则，只赋予必要的能力，攻击面更小，而 suid 赋予整个程序的 root 权限，风险更高，但 capability 需要正确配置，否则可能无法正常工作。
在容器中如何调整 capability
使用 docker run --cap-add=能力名 --cap-drop=ALL 或者 docker-compose 中的 cap_add 和 cap_drop 字段，生产环境建议先 cap_drop=ALL 再逐个添加，避免默认能力泄露。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/509494.html
