为什么不以 root 身份运行 uwsgi 实例

Question

我正在阅读 uWSGI 文档，它警告始终避免以 root 身份运行 uWSGI 实例。这背后的原因是什么？

如果它是 docker 容器中运行的唯一进程（除了 nginx 之外），提供 Flask 应用程序，这有什么关系吗？

Answer 1

一般来说，安全推理表明以 root 身份运行同样不好。如果存在任何类型的错误，例如可以允许任何人执行任意代码的代码执行错误，他们将能够破坏您的整个系统。

如果您不以 root 身份运行该进程，则任何代码执行漏洞都需要与辅助权限提升漏洞配对才能破坏您的系统。

在 docker 容器中，这种情况会稍微缓解，因为您将能够相对轻松地恢复旧系统，但是，允许进程以 root 身份运行通常仍然是一种不好的做法或习惯，因为恶意攻击者可以并且会窃取您的服务器上可能存在的信息或将您的服务器变成恶意软件传递机制。