Google Cloud虚拟机上的容器：基于JVM的应用因端口权限错误停止

我之前也碰到过几乎一模一样的情况，核心问题其实和Linux系统的特权端口限制直接相关——1024以下的端口属于系统特权端口，只有拥有特定权限的进程才能绑定。结合你的场景，给你几个针对性的解决方案：

1. 优先用端口映射（最省心的方案） #

不需要让容器内的Play应用直接绑定低端口，而是通过Docker的端口映射，把主机的低端口转发到容器内的高端口（比如Play默认的8080端口）。

比如你要对外暴露80端口，运行容器的命令可以改成：

docker run -d -p 80:8080 your-play-scala-image

这样主机的80端口会映射到容器内的8080端口，既避开了特权端口的权限问题，也能正常对外提供服务。

2. 给容器添加绑定特权端口的特定能力 #

如果你确实需要让容器内的Play应用直接绑定1024以下端口（比如容器内用80端口），没必要开启全特权模式--privileged（太不安全），只需要添加NET_BIND_SERVICE这个专门的Linux能力即可：

docker run -d -p 80:80 --cap-add=NET_BIND_SERVICE your-play-scala-image

同时要注意：你的Play-Scala镜像内的启动进程得是root用户，或者已经配置该用户拥有CAP_NET_BIND_SERVICE能力。如果你的镜像用的是非root用户（比如sbt构建的默认镜像常用1001用户），可以修改Dockerfile切换到root，或者给该用户添加能力：

# 在Dockerfile中添加这一行，替换为你的Play应用可执行文件路径
RUN setcap 'cap_net_bind_service=+ep' /opt/play-app/bin/your-app

3. 排查Container Optimised OS的安全限制 #

Container Optimised OS默认启用了AppArmor安全模块，可能会阻止容器绑定低端口。你可以先临时关闭AppArmor测试是否是这个问题：

docker run -d -p 80:80 --security-opt apparmor=unconfined your-play-scala-image

如果测试成功，建议为你的容器创建自定义的AppArmor规则，允许绑定低端口，而不是一直关闭安全模块。

4. 查看容器日志确认具体错误 #

最后一定要通过容器日志定位精准问题，比如是否是权限拒绝：

docker logs <your-container-id>

Play应用启动时如果绑定端口失败，会输出类似Permission denied的错误，这能帮你快速确认问题根源。

内容的提问来源于stack exchange，提问作者Ravinder Payal