通过 30 个聚焦的 DevSecOps 挑战实验，练习保护正在运行的 Linux 主机和 Docker 工作负载。课程分为六个渐进阶段，你需要检查真实运行状态，识别不安全的暴露面或权限边界，实施针对性修复，并证明加固后的应用仍可正常工作。
这是一条强调运维加固的中级实践路线，而不是安全理论课或逐步操作教程。前半部分覆盖 Linux 服务、Web 内容、权限、身份、密钥和特权自动化；后半部分从 Docker 运行时审计进阶到最小权限、Compose 隔离、镜像治理与事件清理。
你将学到什么
完成课程后，你将能够：
- 审计监听套接字、主机绑定、Web 目录行为和暴露文件，建立准确的 Linux 暴露面基线。
- 收紧密钥、上传目录、环境文件和日志的权限，同时保留合法服务用户所需的读取或写入路径。
- 让服务不再以 root 身份运行，分配专用身份，并维持配置读取与日志写入所需的所有权边界。
- 从脚本和进程环境中移除凭据，收窄过度宽泛的 sudo 规则，并加固命令解析和 root cron 执行路径。
- 检查 Docker 与 Compose 的镜像、发布端口、用户、挂载、环境变量、数据卷和网络等真实运行信息。
- 通过只读挂载、非 root 用户、移除特权模式和 Docker socket，以及限定密钥范围来降低容器权限。
- 分隔 Compose 网络，清理运行时和构建时令牌暴露，固定基础镜像版本，并移除事件期间留下的临时覆盖配置。
- 使用进程、权限、HTTP、容器、镜像历史和服务连通性检查验证每项加固修改。
本课程适合谁
本课程适合具备 Linux 与 Docker 基础，希望练习审查和修复常见运维安全漂移的学习者。它尤其适合准备从事 DevSecOps、平台工程或运维工作的人员：你已经能理解安全要求，但还需要积累在降低暴露面和权限的同时保持应用可用的经验。
前置要求： 你应能在 Linux 中导航，编辑配置文件和 Shell 文件，理解权限与进程输出，使用 sudo，并运行基本的 Docker 和 Docker Compose 命令。挑战会提供要求与提示，但不会从零讲解这些基础知识。
学习环境： 前 15 个挑战使用平台提供的 Ubuntu 22.04 终端环境，后 15 个使用支持 Docker 的 Ubuntu 22.04 环境，其中已准备好应用、镜像、脚本和 Compose 栈。所有目标均位于本地实验环境内，不会使用外部云、容器注册表或生产系统。
常见问题
这是一门引导式安全课程，还是挑战式实践路线？
这是一条挑战式路线。每个实验都会给出场景、目标状态、要求、提示和验证方式，但需要你自行判断要检查哪些运行证据以及实施哪项聚焦修复。如果 Linux 和 Docker 对你来说都很陌生，建议先学习相应的引导式基础课程。
课程是否覆盖漏洞扫描和完整的 DevSecOps 软件生命周期？
不覆盖。课程刻意聚焦于 Linux 与 Docker 的运维配置问题，包括网络暴露、权限、身份、密钥、最小权限、Compose 隔离、镜像清理和事件后配置漂移；不会教授 SAST、依赖扫描、云 IAM 或端到端安全流水线设计。
需要云账号、容器注册表或自己的 Docker 主机吗？
不需要。所需 Linux 服务、容器、镜像和 Compose 项目均已在隔离实验环境中准备好。你不会把镜像推送到外部注册表，也不会修改真实生产主机。
必须每天完成一个挑战吗？
不需要遵守固定日程。30 个挑战按渐进式的 30 天实践路线排列，但你可以使用其他节奏。建议保持阶段顺序，因为后期容器挑战默认你已熟悉状态检查、最小权限与结果验证。
