Omarchy 4.0.1 取消默认把用户加入 docker 组 RSS

Omarchy 在 4.0.1 安全版本中不再默认把用户加入 docker 组，改为按需加入。Docker daemon 以 root 运行，组成员可经 socket 启动特权容器并挂载宿主文件系统，因此旧默认等于让整个桌面会话隐式持有一条通往 root 的路径；继承补充组之后，浏览器、npm 脚本、IDE 和 agent 进程都能走这条路。开发机应核对 docker 组成员、socket 属主以及 CI runner 与 agent 的服务账号。

发布于 2026-09-10T06:53:46.180774Z · Omarchy · GitHub

Docker 开发机安全 权限

Omarchy 在 4.0.1 安全版本中不再默认把用户加入 docker 组，改为按需加入。Docker daemon 以 root 运行，组成员可经 socket 启动特权容器并挂载宿主文件系统，因此旧默认等于让整个桌面会话隐式持有一条通往 root 的路径；继承补充组之后，浏览器、npm 脚本、IDE 和 agent 进程都能走这条路。开发机应核对 docker 组成员、socket 属主以及 CI runner 与 agent 的服务账号。

Omarchy 在 4.0.1 安全版本中不再默认把用户加入 docker 组，改为按需加入。Docker daemon 以 root 运行，组成员可经 socket 启动特权容器并挂载宿主文件系统，因此旧默认等于让整个桌面会话隐式持有一条通往 root 的路径；继承补充组之后，浏览器、npm 脚本、IDE 和 agent 进程都能走这条路。开发机应核对 docker 组成员、socket 属主以及 CI runner 与 agent 的服务账号。

原始来源 ↗

来源记录

• center.info_item · 8056c815b333f29e · 2026-10-03T04:08:35.169032Z
• pgweb.info_item · 8056c815b333f29e · 2026-10-03T04:08:55.967155Z