如何通过Seccomp在Docker中设置白名单以限制容器高危系统调用？

本文共计743个文字，预计阅读时间需要3分钟。

在Docker中使用Seccomp进行白名单限制，核心不是禁用危险调用，而是只释放真正需要的调用——默认拒绝所有，再逐个添加。这种模式比黑名单更安全，也更可控。

白名单策略必须满足三个硬性结构要求

Seccomp配置是纯JSON，字段名大小写敏感，缺一不可：

• default_action：必须设为"SCMP_ACT_ERRNO"（拒绝并返回错误）或"SCMP_ACT_KILL"（直接终止进程），不能拼错成defaultAction或defaultaction
• architectures：至少包含宿主机架构，例如["SCMP_ARCH_X86_64"]；ARM容器需加"SCMP_ARCH_AARCH64"，漏掉会导致容器根本启不来
• syscalls：必须是数组，每个元素含names（字符串数组）和action（如"SCMP_ACT_ALLOW"），不能写成syscall或name

关键系统调用白名单要按运行时实际需求选

盲目删减会直接导致容器崩溃。