sandboxec

sandboxec 基于 Landlock 的轻量级 Linux 命令沙箱。 无需守护进程。无需 root。无需镜像构建步骤。 用它来运行有风险的命令，缩小爆炸半径：第三方 CLI、不受信任的脚本、生成的代码以及一次性工具。 目的 运行不受信任的代码通常是全有或全无的选择。 容器和虚拟机是很好的工具，但对于快速的命令级隔离来说可能过于繁重。容器增加了镜像和运行时开销。虚拟机提供了更强的隔离性，但设置和资源成本更高。 sandboxec 专注于更狭窄的任务：在当前主机上沙箱化一个命令，开销低，并具有显式的允许规则。 另见 ： D. Siswanto, “The most practical...