.NET 8容器中HttpListener绑定所有网卡失败，求权限配置方案

我有一个使用HttpListener的.NET 8应用，部署在基于mcr.microsoft.com/dotnet/sdk:8.0镜像的Docker容器中，遇到以下问题：

• 配置HttpListener使用http://localhost:1234时，应用仅能本机访问，无法被局域网其他机器访问；
• 尝试使用http://+:1234绑定所有网卡时，HttpListener启动失败并抛出异常。

在Windows环境中以管理员身份运行可解决该问题，但容器环境下不知如何实现。

已完成的操作：

1. Dockerfile配置：

FROM mcr.microsoft.com/dotnet/sdk:8.0
WORKDIR /app
COPY . .
EXPOSE 1234
ENTRYPOINT ["dotnet", "YourApp.dll"]

2. 容器启动命令：

docker run -d -p 1234:1234 your-docker-image

3. HttpListener配置：

var listener = new HttpListener();
listener.Prefixes.Add("http://+:1234/");
listener.Start();

怀疑是权限问题，咨询：如何在Docker容器中为HttpListener授予绑定所有网卡的权限？有无特定Docker配置或最佳实践？

1. 调整HttpListener绑定地址为0.0.0.0 #

容器环境中，直接绑定http://0.0.0.0:1234/是绑定所有网卡的标准方式，无需额外权限：

var listener = new HttpListener();
listener.Prefixes.Add("http://0.0.0.0:1234/");
listener.Start();

容器内的0.0.0.0会映射到宿主机的网卡，配合docker run的端口映射参数-p 1234:1234，局域网其他机器就能通过宿主机IP:1234访问应用。

2. 替换为.NET运行时镜像（生产最佳实践） #

当前使用的dotnet/sdk:8.0是开发镜像，体积大且包含不必要的开发工具。生产环境建议改用dotnet/aspnet:8.0运行时镜像，更轻量且适配生产场景：
修改Dockerfile：

FROM mcr.microsoft.com/dotnet/aspnet:8.0
WORKDIR /app
COPY ./publish . # 需先在本地将应用发布到publish目录
EXPOSE 1234
ENTRYPOINT ["dotnet", "YourApp.dll"]

本地发布命令：

dotnet publish -c Release -o publish

3. 若必须使用+前缀的处理方式（不推荐） #

如果一定要使用http://+:1234/，可通过以下两种方式授权：

• 以root用户运行容器
  启动容器时添加--user root参数：

  docker run -d -p 1234:1234 --user root your-docker-image
  

  注意：root用户运行容器存在安全风险，生产环境不建议使用。
• 添加Linux网络绑定能力
  给容器添加CAP_NET_BIND_SERVICE能力，允许非root用户绑定相关端口：

  docker run -d -p 1234:1234 --cap-add NET_BIND_SERVICE your-docker-image
  

• 容器内服务绑定地址统一使用0.0.0.0，避免localhost或+前缀；
• 生产环境优先使用.NET运行时镜像（aspnet）而非SDK镜像；
• 尽量避免以root用户运行容器，必要时通过Linux能力授权替代提权。

内容的提问来源于stack exchange，提问作者Aouizerats Oury