用 Docker compose 加 socat 网关阻止不可信容器外传数据
Reddit 用户 /u/dtdisapointingresult 分享一种防止不可信 Docker 容器向外上传本地数据的方法：在 docker-compose 中将服务放入 internal 的 isolated_network，并用 alpine/socat 作为网关只转发入站请求，出站连接被阻断。socat 容器仅占约 1.2MB 内存，作者还建议用 docker compose 替代 docker run，并附上 cap_drop、no-new-privileges 等可选加固配置。
推荐理由：作者给出可直接复用的 docker-compose 配置，用 socat 网关隔离不可信容器的出站流量，额外开销仅约 1.2MB 内存。