用途：用于容器安全加固、镜像漏洞扫描与最小权限 Docker 部署，防止容器以 root 运行、密钥泄漏进镜像层、资源耗尽与容器逃逸。
主要能力：按安全层次组织，包括镜像供应链（内容信任、扫描、固定 digest）、构建期（secret 挂载、多阶段构建、.dockerignore）、运行时隔离（命名空间、cgroups、seccomp、AppArmor）、最小权限（非 root USER、cap-drop ALL、只读文件系统）、资源限制（内存、CPU、PID）与主机防护（rootless Docker、no-new-privileges）。
必要用法：生产容器建议应用五项最小安全设置——Dockerfile 中创建非 root 用户并 USER 1001:1001；运行时使用 --read-only --tmpfs /tmp:size=64m --cap-drop ALL --security-opt no-new-privileges=true -m 512m --cpus 1.5 --pids-limit 200；Compose 中对应 read_only、tmpfs、cap_drop、security_opt、deploy.resources.limits 与 user。能力采用 drop-all-add-specific，如 docker run --cap-drop ALL --cap-add NET_BIND_SERVICE nginx。构建期密钥用 RUN --mount=type=secret 与 docker buildx build --secret。扫描可用 docker scout cves、trivy image、snyk container test。审计可运行 docker/docker-bench-security。
适用场景：生产容器加固、CI/CD 镜像扫描门禁、供应链安全（SBOM、provenance）、rootless 部署与 CIS 基准审计。
限制：rootless 模式不支持 AppArmor、旧内核上的 overlay 网络驱动，以及部分配置下的 --net=host，需先测试工作负载。资料未提供具体收费、价格与平台支持信息。