Bubblewrap

简介

Bubblewrap (bwrap) 是一个轻量级的 Linux 沙箱工具，通过 Linux namespaces 实现文件系统、网络、进程等资源的隔离。常用于容器运行时和安全执行不受信任的代码。

特性

• 基于 Linux namespaces
• 极低的资源开销
• 精细的文件系统隔离
• 网络命名空间隔离
• 无需 root 权限
• Flatpak 核心组件

安装

# Ubuntu/Debian
sudo apt install -y bubblewrap
# 从源码安装
git clone https://github.com/containers/bubblewrap.git
cd bubblewrap
meson setup _build && ninja -C _build
sudo ninja -C _build install

常用命令

# 基本沙箱
bwrap --ro-bind / / --dev /tmp --tmpfs /tmp bash
# 限制文件系统访问
bwrap --ro-bind /usr /usr --ro-bind /lib /lib \
  --symlink lib/lib64 /lib64 --proc /proc --dev /dev \
  --unshare-net bash
# 只读挂载特定目录
bwrap --ro-bind ./myapp /app --chdir /app ./run.sh