Spring Boot可执行JAR作为systemd服务无法绑定特权端口求助

我之前也碰到过一模一样的情况——明明给systemd服务配置了AmbientCapabilities=CAP_NET_BIND_SERVICE，但Java进程还是没法绑定443这类低端口，尤其是用自定义bash脚本启动的时候。下面是几个经过验证的可行解决方案：

1. 完善systemd服务单元的权限配置 #

默认情况下，systemd的CapabilityBoundingSet可能没有包含CAP_NET_BIND_SERVICE，这会导致你设置的AmbientCapabilities无法生效。你需要补充这两项配置，同时确保NoNewPrivileges没有被设为yes（默认是no，但如果之前修改过会影响权限传递）。修改后的完整服务单元配置如下：

[Service]
User=myapp
ExecStart=/usr/lib/myapp.jar
SuccessExitStatus=143
# 允许进程继承该权限
AmbientCapabilities=CAP_NET_BIND_SERVICE
# 确保该权限在systemd允许的能力集合内
CapabilityBoundingSet=CAP_NET_BIND_SERVICE
# 显式声明允许权限继承（默认值，写出来更稳妥）
NoNewPrivileges=no

修改完成后，重新加载systemd配置并重启服务：

sudo systemctl daemon-reload
sudo systemctl restart your-service-name

2. 修复自定义bash脚本的权限传递逻辑 #

如果用自定义bash脚本启动Java，一定要用exec命令来启动jar包。因为如果直接写java -jar ...，bash会fork一个新的子进程来运行Java，这个过程中可能会丢失AmbientCapabilities；而用exec的话，Java进程会直接继承脚本的进程ID和所有权限。你的脚本应该改成这样：

#!/bin/bash
exec java -jar /usr/lib/myapp.jar

保存脚本后给它加上执行权限：

sudo chmod +x /path/to/your-start-script.sh

最后更新systemd的ExecStart指向这个脚本即可。

3. 直接给Java二进制文件添加权限 #

还有一种更直接的方式：给Java可执行文件本身添加CAP_NET_BIND_SERVICE权限，这样不管用什么方式启动Java（systemd、脚本、手动），都能绑定低端口。执行以下命令：

sudo setcap 'cap_net_bind_service=+ep' /usr/lib/jvm/java-<your-java-version>/bin/java

注意：每次Java版本更新后，这个权限会被系统清除，需要重新执行上述命令。

验证权限是否生效 #

你可以用getpcaps命令检查Java进程的权限是否正确获取：

# 先找到Spring Boot应用的Java进程PID
ps aux | grep myapp.jar
# 检查该进程的权限
getpcaps <pid>

如果输出结果里包含cap_net_bind_service，就说明权限已经生效了。

内容的提问来源于stack exchange，提问作者Dagan Henderson