尝试获取SYS_CHROOT权限执行Chroot失败，求排查原因

核心问题1：修改能力集后未生效 #

你的代码只修改了内存中cap.Cap结构体的权限标志，但没有调用c.SetProc()将修改后的能力集应用到当前进程。这导致进程实际权限完全没变化，后续重新获取的能力集还是原始状态，自然会触发权限不足的错误。

修复代码：

// 获取当前进程能力集
c := cap.GetProc()
// 标记要启用的Effective权限
if err := c.SetFlag(cap.Effective, true, cap.SYS_CHROOT); err != nil {
    log.Fatalf("Failed to set capability: %v", err)
}
// 关键：将修改后的能力集应用到进程
if err := c.SetProc(); err != nil {
    log.Fatalf("Failed to apply capabilities: %v", err)
}
// 重新获取能力集用于检查
c = cap.GetProc()

核心问题2：权限检查逻辑错误 #

syscall.Chroot要求进程的Effective位拥有CAP_SYS_CHROOT权限，但你的代码检查的是Permitted位。虽然Permitted是Effective的前提，但直接检查Effective位才是判断当前是否能执行chroot的准确方式。

修正检查逻辑：

if on, _ := c.GetFlag(cap.Effective, cap.SYS_CHROOT); !on {
    log.Fatalf("Insufficient privilege to execute syscall.Chroot - required capability not granted")
}

其他可能的前置问题 #

进程未获得Permitted权限的前提 #

要设置Effective位的CAP_SYS_CHROOT，进程的Permitted位必须先包含该能力：

• 如果程序以root身份运行：默认拥有所有Permitted权限，无需额外操作
• 如果以普通用户运行：需要给二进制文件设置文件能力，执行命令：

  sudo setcap cap_sys_chroot+ep ./your-go-binary
  

代码变量复用的冗余 #

你在修改后重新赋值c = cap.GetProc()，但如果没先调用SetProc()，这个新的c还是原始能力集，检查毫无意义。必须确保先应用修改，再重新获取检查。

内容的提问来源于stack exchange，提问作者nora nora