禁止容器访问主机网络

Question

在像这样的简单 docker-compose 结构中

version: "2"
services:
  app:
    image: myapp
  db:
    image: mydb

自动创建桥接网络，允许：

1. app并db互相见面
2. app并db查看主机的网络
3. app并db连接到互联网

我怎样才能禁止第 2 点，同时保留另外两点？

明确创建桥接网络有什么区别吗？