`sys/capability.h`（配合 libcap）封装 Linux Capabilities，把传统 root 的全权拆成数十项独立能力位，进程可只持有其中几项，实现比 UID/GID 更细的最小权限。能力分 permitted（允许集）、effective（当前生效）、inheritable（可继承）三个集合。 能力边界：单个能力位只覆盖一类操作，不等于 root。持有某能力只在对应内核检查点生效，是否可用还受文件能力、边界集与容器限制约束。