linux - statx 停止给予 EPERM 需要哪些能力

Question

我有一个 Qt 项目，它使用一个在我的系统上编译良好的插件接口(interface)。然而，当同一个项目在 docker 中编译时，它停止使用 Qt 5.10.1，给出消息错误:未定义的接口(interface)。在对 moc 运行一些 strace 之后，结果发现没有找到定义接口(interface)的头文件，因为 statx 调用了包含的文件路径总是返回 EPERM。该文档甚至没有提及如何生成此错误。

docker run --privileged 修复了这个问题，但我想避免过多的权限，所以我只想设置必要的权限。

到目前为止，我尝试添加所有这些功能(甚至同时添加)但没有成功:

• CAP_DAC_OVERRIDE
• CAP_DAC_READ_SEARCH
• CAP_FOWNER
• CAP_SETFCAP

我是不是漏掉了什么？

更新

A pull request因为这是悬而未决的。

Answer 1

2018-03-06之前

statx 未包含在 default seccomp whitelist 中目前由 Docker 使用。

您可以使用 --security-opt seccomp=/path/to/seccomp/profile.json 指定不同的配置文件(大概是添加了此系统调用的配置文件)。

---

2018-03-06之后

moby/moby#36417是merged to master截至 2018 年 3 月 6 日。

它应该包含在未来的每晚构建中，并最终包含在 Docker 18.04 版本中。