Docker Compose 如何配置容器安全选项 security_opt 参数

security_opt 参数允许你在 Docker Compose 中覆盖容器默认的安全配置文件，除非你有明确的权限调试需求或遗留应用兼容性问题，否则生产环境建议保持默认设置。

先说结论：该参数直接修改容器内核级安全约束，误配可能导致容器逃逸风险增加。

先判断：确认是否真的需要关闭 SELinux、AppArmor 或 seccomp 默认保护。
优先做：在测试环境验证配置，避免直接在生产集群禁用安全策略。
再验证：使用 docker inspect 检查容器实际生效的安全选项。

配置速用版

version: '3.8'
services:
  app:
    image: nginx:latest
    security_opt:
      - no-new-privileges:true
      - apparmor=unconfined
      - seccomp=unconfined

以上片段展示了如何在 Compose 文件中声明安全选项，注意 security_opt 下是一个列表，每项为字符串格式。

为什么会这样

Docker 默认会启用一系列安全机制来限制容器能调用的系统调用和访问的资源，例如 seccomp 配置文件会拦截危险的内核调用，AppArmor 或 SELinux 则控制文件访问权限。security_opt 的作用就是让你手动覆盖这些默认策略。

当你遇到容器内应用因权限不足无法启动，或者需要调试底层系统调用时，可能需要调整此参数。但随意禁用默认保护（如设置 seccomp=unconfined）会让容器拥有更接近宿主机的权限，一旦应用被攻破，风险会扩散到主机。

Docker Compose 如何配置容器安全选项 security_opt 参数

分步处理

1. 编辑 docker-compose.yml 文件，在对应服务下添加 security_opt 字段。

2. 确保缩进正确，该字段与 image、ports 同级，下方列表项需保持统一缩进。

3. 执行 docker-compose up -d 重启容器使配置生效。

4. 如果启动失败，检查 docker-compose logs 查看是否因安全策略拦截导致。

怎么验证是否生效

容器启动后，不要只看状态，要确认内核实际加载的策略。使用以下命令检查：

docker inspect <容器名或 ID> `--format` '{{.HostConfig.SecurityOpt}}'

如果配置成功，输出应包含你设置的选项，例如 [no-new-privileges:true apparmor=unconfined]。若输出为空或显示默认值，说明配置未正确应用。

常见坑

1. 根目录模式下限制：如果你使用的是 Docker Rootless 模式，部分 security_opt 选项（如某些 AppArmor 配置）可能不被支持或无效。

2. 语法格式错误：security_opt 必须是列表格式，直接写字符串会导致 Compose 解析失败。

3. 过度放权风险：公开资料中没有看到可靠的量化数据表明禁用 seccomp 的具体风险概率，但安全社区共识是除非必要，不要设置 seccomp=unconfined。

4. 与其他参数冲突：某些安全选项可能与 cap_add 或 privileged 参数产生逻辑冲突，同时使用时需仔细测试。

参考来源

Docker 官方文档 - Compose 文件参考：https://docs.docker.com/compose/compose-file/
Docker 引擎 API - 容器创建安全选项：https://docs.docker.com/engine/api/v1.41/#operation/ContainerCreate
Compose 规范 GitHub 仓库：https://github.com/compose-spec/compose-spec