Linux 容器宿主机安全加固要点：从 XSS、SQL 注入到系统基线

容器化部署已经成为现代 Web 应用的主流方式，但很多团队把注意力集中在镜像扫描和 Kubernetes 配置上，却忽略了最底层的那台 Linux 宿主机。宿主机一旦被攻破，所有容器、所有数据、所有密钥都将暴露无遗。本文从 Web 安全视角出发，结合 XSS 防御、SQL 注入防护和 Linux 系统加固清单，梳理容器宿主机安全加固的关键要点。

为什么容器宿主机是安全短板

容器共享宿主机内核，这意味着宿主机上的任何内核漏洞、配置错误或权限失控，都可能成为容器逃逸的跳板。更现实的问题是：很多生产环境的宿主机上还跑着反向代理、日志收集、监控 agent 甚至数据库，这些服务本身就暴露了攻击面。

一个典型的攻击链是这样的：攻击者通过 Web 应用的 XSS 漏洞窃取管理员会话，利用管理员权限进入后台执行 SQL 注入获取数据库权限，再通过数据库的 FILE 权限或系统命令执行功能写入 WebShell，最终从容器内逃逸到宿主机，完成对整个基础设施的控制。这条链上的每一环，都需要在宿主机层面设置阻断点。

XSS 的常见方式与前端防御

XSS 虽然发生在浏览器端，但宿主机上的 Web 服务配置直接影响 XSS 的杀伤力。常见的 XSS 方式包括：

• 反射型 XSS：恶意脚本作为请求参数被服务端直接回显到页面中，常见于搜索框、错误提示页。
• 存储型 XSS：恶意脚本被存入数据库，在所有访问该页面的用户浏览器中执行，危害最大。
• DOM 型 XSS：前端 JavaScript 直接使用 location.hash、document.referrer 等不可信数据更新 DOM，不经过服务端。

前端防御的核心原则是“永不信任用户输入，永远进行上下文感知的编码”。具体措施包括：

1. 对插入 HTML 的内容使用 textContent 而非 innerHTML，必须插入富文本时使用 DOMPurify 等库进行净化。
2. 设置 Content-Security-Policy 响应头，限制脚本来源，禁止 unsafe-inline。
3. 对 Cookie 设置 HttpOnly 和 Secure 属性，降低会话被窃取的风险。
4. 在宿主机 Nginx 或 Apache 配置中统一添加安全响应头，避免依赖应用层逐个设置。

宿主机层面的加固点是：确保反向代理正确传递并覆盖安全头，禁止容器内的应用直接暴露到公网，所有外部流量必须经过宿主机上的入口网关。

MySQL 防止 SQL 注入的几种写法

SQL 注入的根源是“把用户输入当作代码执行”。在容器宿主机上，数据库可能以 sidecar 或独立容器运行，但防护逻辑不变。以下是几种可靠的防御写法：

1. 参数化查询（预编译语句）

这是最根本的防御方式。以 PHP PDO 为例：

$stmt = $pdo->prepare('SELECT * FROM users WHERE email = :email');
$stmt->execute(['email' => $email]);

Java 中使用 PreparedStatement，Python 中使用 cursor.execute(sql, params)，原理相同。参数化查询确保用户输入永远以数据形式传输，不会被解析为 SQL 语法。

2. 存储过程配合参数

存储过程本身不自动免疫注入，必须使用参数化调用：

CREATE PROCEDURE GetUser(IN user_email VARCHAR(255))
BEGIN
  SELECT * FROM users WHERE email = user_email;
END

3. 最小权限原则

为 Web 应用创建独立数据库账户，只授予必要的 SELECT、INSERT、UPDATE、DELETE 权限，禁止 DROP、FILE、GRANT 等高危权限。这样即使注入成功，攻击者也无法读写文件或提权。

4. 输入验证与白名单

对排序字段、表名等无法参数化的位置，使用严格白名单映射，例如 $order = in_array($input, ['id','name','created_at']) ? $input : 'id';。

5. 宿主机层面的 WAF 与网络隔离

在宿主机上部署 ModSecurity 或云 WAF，对 SQL 注入特征进行拦截。同时通过 iptables 或 nftables 限制只有应用容器可以访问数据库端口，禁止数据库容器直接暴露到宿主机外网。

Linux 服务器安全加固清单

以下是容器宿主机必须执行的基础安全加固项，建议逐条核对：

账户与认证

• 禁用 root 远程 SSH 登录，使用普通用户 + sudo 或密钥认证。
• 禁止密码登录，仅允许 SSH Key，并设置 PermitRootLogin no。
• 删除或锁定无用账户，检查 /etc/passwd 中 UID 为 0 的账户是否只有 root。
• 配置 faillock 或 pam_tally2 实现登录失败锁定。

内核与网络

• 启用 sysctl 安全参数：net.ipv4.conf.all.rp_filter=1、net.ipv4.tcp_syncookies=1、kernel.dmesg_restrict=1。
• 禁用不必要的内核模块，如 cramfs、freevxfs、usb-storage。
• 使用 nftables 或 iptables 设置默认拒绝策略，仅放行必要端口。
• 开启 auditd 审计关键文件和系统调用。

容器运行时隔离

• 使用非 root 用户运行容器，配置 securityContext.runAsNonRoot: true。
• 禁止容器使用 --privileged 和 --pid=host。
• 挂载 /proc、/sys 为只读，限制 CAP_SYS_ADMIN 等危险能力。
• 启用 Seccomp 和 AppArmor 配置文件，限制容器内系统调用。

文件与日志

• 设置关键目录权限：/etc/shadow 为 000 或 640，/etc/passwd 为 644。
• 启用文件完整性监控（如 AIDE 或 OSSEC），定期校验系统二进制文件。
• 集中收集宿主机和容器日志到远程 syslog 或 SIEM，防止攻击者清理痕迹。
• 定期更新内核和 Docker/containerd 版本，修复已知逃逸漏洞。

应急与备份

• 制定容器逃逸应急响应流程，发现异常进程立即隔离宿主机。
• 定期备份宿主机配置和容器编排状态，确保可快速重建。
• 对宿主机进行定期漏洞扫描和基线检查，可使用 OpenSCAP 或 Lynis。

总结

容器宿主机的安全加固不是单一措施，而是一套纵深防御体系。前端 XSS 防御减少了会话劫持风险，SQL 注入防护切断了数据泄露路径，而 Linux 系统加固则守住了最后一道防线。三者结合，才能让容器化部署真正具备生产级安全性。建议每季度对照本文清单进行一次全面审计，把安全从“事后补救”变成“日常习惯”。

未经允许不得转载：任鹏个人博客 » Linux 容器宿主机安全加固要点：从 XSS、SQL 注入到系统基线