用途：为 Docker 全生命周期提供安全加固指导，适用于用户提及 docker 安全、镜像安全、容器安全、非 root/rootless、最小权限、seccomp、AppArmor、SELinux、Docker Bench、CIS、密钥管理、镜像签名等场景。
主要能力：按五层防御组织——镜像安全（最小基础镜像、非 root 用户、固定版本）、构建安全（密钥注入、避免 COPY 密钥）、运行时安全（capabilities、seccomp、AppArmor、只读文件系统）、仓库安全（内容信任、签名、漏洞扫描）、主机安全（Docker Bench、CIS、用户命名空间）。提供镜像安全清单：使用 alpine 或 distroless、Dockerfile 末尾 USER 1000:1000、固定 digest、优先 COPY 而非 ADD、不在镜像中放密钥、配置 .dockerignore。
使用方式：运行时可用 docker run --cap-drop=ALL --cap-add=NET_BIND_SERVICE、--read-only --tmpfs /tmp、--security-opt seccomp=profile.json、--security-opt no-new-privileges。构建期密钥用 BuildKit：RUN --mount=type=secret,id=aws_creds 配合 docker build --secret id=aws_creds,src=...；Swarm 运行时用 docker secret create。审计运行 docker run --rm --pid host --network host -v /var/run/docker.sock:/var/run/docker.sock docker/docker-bench-security。加固流程为镜像扫描、Dockerfile 加固、运行时配置、审计修复、CI 门禁。
限制：不覆盖 CVE 漏洞扫描（用 docker-scout）、主机系统安全、网络安全/防火墙；镜像签名需 DOCKER_CONTENT_TRUST=1；完整合规需结合 Scout 与组织策略。不附带可执行脚本，仅为指导。避免 --privileged、Dockerfile 中写 ENV 密钥、默认 root、挂载 docker.sock 等常见陷阱。