Ubuntu 17.10 Docker容器中GCC搭配ASan编译程序运行失败求助

我帮你梳理下这个在Ubuntu 17.10 Docker容器里遇到的ASan运行失败问题，特别是那个==5==HINT: LeakSanitizer does not work under ptrace (strace, gdb, etc)的报错——这在容器环境里挺常见的，核心是权限限制和ASan的依赖机制冲突，下面是几个靠谱的解决办法：

1. 启动容器时授予ptrace权限 #

Docker默认会限制容器的ptrace系统调用权限，而LeakSanitizer（ASan的内存泄漏检测模块）刚好依赖这个机制才能正常工作。启动容器时必须显式添加权限：

docker run --cap-add=SYS_PTRACE -it ubuntu:17.10 /bin/bash

如果用docker-compose管理容器，就在服务配置里加这段：

services:
  your-service:
    image: ubuntu:17.10
    cap_add:
      - SYS_PTRACE

2. 临时禁用LeakSanitizer（快速验证） #

如果暂时不需要检测内存泄漏，只想先验证ASan的其他功能（比如地址越界、内存重复释放）是否正常，可以通过环境变量关闭LeakSanitizer：

export ASAN_OPTIONS=detect_leaks=0

设置完后再运行你的二进制程序，就能避开ptrace相关的限制，优先确认ASan核心功能是否正常。

3. 确保编译参数正确 #

你提到用GCC 7.2.0+ASan编译的程序运行失败，先检查下编译时的参数是否正确——必须同时添加-fsanitize=address（启用ASan）和-g（生成调试信息，方便ASan定位错误）：

# C程序
gcc -fsanitize=address -g your-program.c -o your-program

# C++程序
g++ -fsanitize=address -g your-program.cpp -o your-program

Ubuntu 17.10默认的GCC版本就是7.2.0，本身和ASan是兼容的，参数不对很容易导致运行异常。

4. 关闭seccomp限制（调试场景用） #

有些情况下，Ubuntu 17.10的Docker容器会通过seccomp规则进一步限制ptrace，如果你添加了SYS_PTRACE权限还是不行，可以临时关闭seccomp（注意：仅用于调试，生产环境别这么做）：

docker run --cap-add=SYS_PTRACE --security-opt seccomp=unconfined -it ubuntu:17.10 /bin/bash

验证方案 #

最后可以用一个简单的测试程序验证配置是否生效：

#include <stdlib.h>
int main() {
    int *ptr = malloc(4);
    *ptr = 10;
    free(ptr);
    *ptr = 20; // 触发"释放后使用"的内存错误
    return 0;
}

编译运行：

gcc -fsanitize=address -g test.c -o test
./test

如果ASan正常工作，会输出详细的内存错误报告，而不会再出现ptrace相关的报错。

内容的提问来源于stack exchange，提问作者Mohammad Azim