# 检查版本
bwrap --version
# bubblewrap 0.9.0

# 查看帮助
bwrap --help

# 1. 安装构建依赖（Debian/Ubuntu）
sudo apt install -y meson ninja-build libcap-dev libseccomp-dev docbook-xsl xsltproc

# 2. 克隆仓库
git clone https://github.com/containers/bubblewrap.git
cd bubblewrap

# 3. 查看可用的版本标签
git tag -l | sort -V | tail -5
# v0.8.0
# v0.9.0
# v0.10.0

# 4. 切换到稳定版本（可选）
git checkout v0.10.0

# 5. 配置构建
meson setup builddir \
  -Drequire-userns=true \
  -Dman=enabled \
  -Ddocs=disabled

# 6. 编译
ninja -C builddir

# 7. 测试（可选）
ninja -C builddir test

# 8. 安装
sudo ninja -C builddir install

# 9. 验证
which bwrap
# /usr/local/bin/bwrap

# Fedora 默认编译（带 setuid 支持）
meson setup builddir -Drequire-userns=false

# 安装后需要设置 setuid
sudo chmod u+s /usr/bin/bwrap

uname -r
# 6.1.0-23-amd64

# 查看内核编译配置中命名空间的支持情况
cat /proc/config.gz | gunzip | grep NAMESPACE
# 或
grep NAMESPACE /boot/config-$(uname -r)

# 方法 1: 检查内核配置
grep CONFIG_USER_NS /boot/config-$(uname -r)
# CONFIG_USER_NS=y

# 方法 2: 直接测试
unshare --user --map-root-user echo "User namespace works"
# User namespace works

# 方法 3: 查看系统参数
cat /proc/sys/kernel/unprivileged_userns_clone
# 1 (表示允许非特权用户创建 user namespace)

#!/bin/bash
# check-ns-support.sh - 检测命名空间支持

declare -A NAMESPACES=(
    [user]="unshare --user echo OK"
    [mount]="unshare --mount echo OK"
    [pid]="unshare --pid --fork echo OK"
    [net]="unshare --net echo OK"
    [uts]="unshare --uts echo OK"
    [cgroup]="unshare --cgroup echo OK"
    [ipc]="unshare --ipc echo OK"
)

echo "命名空间支持检测:"
echo "=================="

for ns in "${!NAMESPACES[@]}"; do
    if eval "${NAMESPACES[$ns]}" &>/dev/null; then
        printf "  %-10s: ✅ 支持\n" "$ns"
    else
        printf "  %-10s: ❌ 不支持\n" "$ns"
    fi
done

# 检查当前设置
cat /proc/sys/kernel/unprivileged_userns_clone
# 0 表示禁用

# 临时启用
sudo sysctl kernel.unprivileged_userns_clone=1

# 永久启用
echo "kernel.unprivileged_userns_clone=1" | sudo tee /etc/sysctl.d/00-local-userns.conf
sudo sysctl --system

# 检查当前设置
cat /proc/sys/user/max_user_namespaces
# 0 表示禁用

# 临时启用
sudo sysctl user.max_user_namespaces=28633

# 永久启用
echo "user.max_user_namespaces=28633" | sudo tee /etc/sysctl.d/userns.conf
sudo sysctl --system

# Arch 默认启用 user namespace，无需额外配置
# 如果使用 hardened 内核，可能需要：
sudo sysctl kernel.unprivileged_userns_clone=1

# 通过 sysctl 配置文件
cat /etc/sysctl.d/99-bubblewrap.conf
# 允许非特权 user namespace
kernel.unprivileged_userns_clone = 1
# 设置最大 user namespace 数量
user.max_user_namespaces = 28633

# 安装 setuid 版本（通常由发行版打包完成）
sudo chmod u+s /usr/bin/bwrap

# 验证
ls -la /usr/bin/bwrap
# -rwsr-xr-x 1 root root 123456 ... /usr/bin/bwrap

# Fedora 默认使用 setuid bwrap，因为其 user namespace 策略较保守
# 检查 bwrap 是否为 setuid
stat -c '%a %U' /usr/bin/bwrap
# 4755 root

# 可选：切换到 user namespace 模式
# 1. 取消 setuid
sudo chmod u-s /usr/bin/bwrap
# 2. 启用 user namespace
sudo sysctl user.max_user_namespaces=28633
# 3. 测试
bwrap --ro-bind / / --unshare-user echo "It works"

# 查看 AppArmor 对 bwrap 的策略
sudo aa-status | grep bwrap

# 如果遇到 AppArmor 拒绝（denied），可以临时切换到 complain 模式
sudo aa-complain /usr/bin/bwrap

# 或者调整 AppArmor 策略
cat /etc/apparmor.d/bwrap

# Debian 12+ 默认启用 user namespace
# 如遇到权限问题，检查：
cat /proc/sys/kernel/unprivileged_userns_clone
# 应为 1

# configuration.nix 中添加
{ pkgs, ... }:
{
  # 启用 user namespace
  security.unprivilegedUsernsClone = true;

  # 安装 bubblewrap
  environment.systemPackages = [ pkgs.bubblewrap ];

  # NixOS 特殊：需要配置 bwrap wrapper
  programs.bwrap = {
    enable = true;
  };
}

#!/bin/bash
# test-bwrap-install.sh

echo "=== Bubblewrap 安装验证 ==="
echo ""

# 1. 版本检查
echo "1. 版本信息:"
bwrap --version
echo ""

# 2. 基本沙箱测试
echo "2. 基本沙箱测试:"
if bwrap --ro-bind / / --unshare-user --unshare-pid --fork echo "Sandbox OK" 2>/dev/null; then
    echo "   ✅ 基本沙箱运行正常"
else
    echo "   ❌ 基本沙箱运行失败"
fi

# 3. 文件系统隔离测试
echo "3. 文件系统隔离测试:"
SANDBOX_HOSTNAME=$(bwrap --ro-bind / / --unshare-uts -- hostname 2>/dev/null)
HOST_HOSTNAME=$(hostname)
if [ "$SANDBOX_HOSTNAME" = "$HOST_HOSTNAME" ]; then
    # UTS namespace 在只读绑定下可能共享主机名，这是正常的
    echo "   ✅ UTS 命名空间可用"
else
    echo "   ✅ UTS 命名空间已隔离: 沙箱=$SANDBOX_HOSTNAME, 宿主=$HOST_HOSTNAME"
fi

# 4. 隔离完整性测试
echo "4. 隔离完整性测试:"
if bwrap --ro-bind / / --unshare-all --proc /proc --dev /dev \
   bash -c 'echo "PID namespace: $(echo $$)"' 2>/dev/null; then
    echo "   ✅ 完整隔离测试通过"
else
    echo "   ⚠️ 部分隔离功能可能不可用"
fi

# 5. tmpfs 测试
echo "5. tmpfs 测试:"
if bwrap --ro-bind / / --tmpfs /tmp bash -c \
   'echo "test" > /tmp/sandbox_test && cat /tmp/sandbox_test && rm /tmp/sandbox_test' 2>/dev/null; then
    echo "   ✅ tmpfs 可写"
else
    echo "   ❌ tmpfs 测试失败"
fi

echo ""
echo "=== 验证完成 ==="

# 检查并启用 user namespace
sudo sysctl kernel.unprivileged_userns_clone=1

# 或检查是否为 setuid 模式
ls -la /usr/bin/bwrap
# 如果没有 setuid 位且 user namespace 被禁用：
sudo chmod u+s /usr/bin/bwrap

# 使用 --tmpfs 时指定大小
bwrap --tmpfs /tmp --size 512 ...

# 查看 AppArmor 日志
sudo journalctl -k | grep apparmor | grep bwrap

# 切换 AppArmor 到 complain 模式
sudo aa-complain /usr/bin/bwrap

# 确保使用 --proc 参数而非手动 mount
bwrap --ro-bind / / --proc /proc ...

# 或检查是否存在 AppArmor/SELinux 限制
getenforce  # SELinux
sudo aa-status  # AppArmor