第 10 章 - 最佳实践

第 10 章：最佳实践

本章总结 Bubblewrap 的生产级最佳实践，包括应用沙箱化方案、安全基线配置、调试技巧和常见问题解决方案。

10.1 沙箱设计原则

核心原则

原则	说明	实施方式
最小权限	只授予完成任务所需的最少权限	使用 `--ro-bind`，`--cap-drop ALL`
最小可见性	只暴露必要的文件和接口	逐个指定绑定挂载，而非 `--ro-bind / /`
纵深防御	多层安全机制叠加	namespace + seccomp + MAC + cgroup
失效安全	异常情况下自动停止	`--die-with-parent`
可审计	配置清晰可审查	使用脚本封装，版本控制

决策流程图

需要沙箱吗？
    │
    ├── 不处理敏感数据 → 可能不需要
    │
    ├── 处理不可信输入 → 是
    │       │
    │       ├── 只需要文件隔离 → --ro-bind / / + --tmpfs
    │       │
    │       ├── 需要进程隔离 → --unshare-pid + --proc
    │       │
    │       ├── 需要网络隔离 → --unshare-net
    │       │
    │       └── 需要完全隔离 → --unshare-all
    │
    └── 运行不可信代码 → 是，需要完整隔离 + 资源限制

10.2 安全基线配置

基线脚本

#!/bin/bash
# bwrap-baseline.sh - Bubblewrap 安全基线配置
# 适用于大多数场景的起始配置

# 严格模式
set -euo pipefail

# 默认参数（安全基线）
BWRAP_BASELINE=(
    # 文件系统：只读基础 + 可写 tmpfs
    --ro-bind / /
    --dev /dev
    --proc /proc
    --tmpfs /tmp
    --tmpfs /run
    --tmpfs /var/tmp

    # 隐藏敏感文件
    --tmpfs /home/user/.ssh
    --tmpfs /home/user/.gnupg
    --tmpfs /home/user/.aws
    --tmpfs /home/user/.kube
    --tmpfs /home/user/.config/fish
    --tmpfs /home/user/.bash_history

    # 命名空间：完全隔离
    --unshare-all

    # 主机名
    --hostname sandbox

    # 进程管理
    --die-with-parent
    --new-session

    # 权能：移除所有
    --cap-drop ALL

    # 环境变量：清除后重建
    --clearenv
    --setenv HOME /home/user
    --setenv USER user
    --setenv PATH /usr/local/bin:/usr/bin:/bin
    --setenv LANG "${LANG:-en_US.UTF-8}"
    --setenv TERM "${TERM:-xterm-256color}"
)

# 提供便捷函数
sandbox_run() {
    exec bwrap "${BWRAP_BASELINE[@]}" "$@"
}

# 如果直接执行此脚本
if [[ "${BASH_SOURCE[0]}" == "${0}" ]]; then
    if [ $# -eq 0 ]; then
        sandbox_run bash
    else
        sandbox_run "$@"
    fi
fi

使用：

# 加载基线配置
source bwrap-baseline.sh

# 使用基线配置运行
sandbox_run bash
sandbox_run python3 script.py
sandbox_run gcc -o prog prog.c

分级安全配置

# Level 1: 最低隔离（开发环境）
BWRAP_LEVEL1=(
    --ro-bind / /
    --bind ~ /home/user
    --tmpfs /tmp
    --dev /dev
    --proc /proc
)

# Level 2: 标准隔离（测试环境）
BWRAP_LEVEL2=(
    --ro-bind / /
    --bind ~/projects /home/user/projects
    --tmpfs /tmp
    --tmpfs /home/user/.ssh
    --dev /dev
    --proc /proc
    --unshare-pid
    --unshare-uts
    --hostname sandbox
    --die-with-parent
)

# Level 3: 高隔离（不可信代码）
BWRAP_LEVEL3=(
    --ro-bind / /
    --tmpfs /tmp
    --tmpfs /home
    --dev /dev
    --proc /proc
    --unshare-all
    --hostname secure-sandbox
    --die-with-parent
    --new-session
    --cap-drop ALL
    --clearenv
    --setenv PATH /usr/bin:/bin
)

# Level 4: 最大隔离（安全研究）
BWRAP_LEVEL4=(
    --tmpfs /
    --ro-bind /usr /usr
    --ro-bind /lib /lib
    --ro-bind /lib64 /lib64
    --ro-bind /bin /bin
    --tmpfs /dev
    --ro-bind /dev/null /dev/null
    --ro-bind /dev/zero /dev/zero
    --ro-bind /dev/random /dev/random
    --ro-bind /dev/urandom /dev/urandom
    --proc /proc
    --unshare-all
    --hostname max-security
    --die-with-parent
    --new-session
    --cap-drop ALL
    --clearenv
)

10.3 应用沙箱化方案

方案 1：浏览器沙箱

#!/bin/bash
# sandbox-browser.sh - 浏览器沙箱

exec bwrap \
    --ro-bind / / \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    --bind ~/.mozilla /home/user/.mozilla \
    --bind ~/Downloads /home/user/Downloads \
    --tmpfs /home/user/.ssh \
    --tmpfs /home/user/.gnupg \
    --unshare-pid \
    --unshare-uts \
    --hostname browser \
    --die-with-parent \
    --new-session \
    --setenv DISPLAY "$DISPLAY" \
    --bind /tmp/.X11-unix /tmp/.X11-unix \
    firefox "$@"

方案 2：开发环境沙箱

#!/bin/bash
# sandbox-dev.sh - 开发环境沙箱

PROJECT_DIR="${1:-.}"
PROJECT_DIR=$(realpath "$PROJECT_DIR")

exec bwrap \
    --ro-bind / / \
    --bind "$PROJECT_DIR" /workspace \
    --bind ~/.gitconfig /home/user/.gitconfig \
    --tmpfs /tmp \
    --tmpfs /home/user/.cache \
    --dev /dev \
    --proc /proc \
    --unshare-pid \
    --unshare-uts \
    --hostname dev-env \
    --die-with-parent \
    --new-session \
    --chdir /workspace \
    --setenv PS1 "[dev] \u@\h:\w\$ " \
    bash

方案 3：文档编辑沙箱

#!/bin/bash
# sandbox-editor.sh - 文档编辑沙箱（无网络）

exec bwrap \
    --ro-bind / / \
    --bind ~/Documents /home/user/Documents \
    --tmpfs /tmp \
    --tmpfs /home/user/.ssh \
    --dev /dev \
    --proc /proc \
    --unshare-all \
    --hostname editor \
    --die-with-parent \
    --new-session \
    --chdir /home/user/Documents \
    "$@"

方案 4：数据处理沙箱

#!/bin/bash
# sandbox-data.sh - 数据处理沙箱

INPUT_DIR="$1"
OUTPUT_DIR="$2"
shift 2

INPUT_DIR=$(realpath "$INPUT_DIR")
OUTPUT_DIR=$(realpath "$OUTPUT_DIR")

exec bwrap \
    --ro-bind / / \
    --ro-bind "$INPUT_DIR" /data/input \
    --bind "$OUTPUT_DIR" /data/output \
    --tmpfs /tmp \
    --dev /dev \
    --proc /proc \
    --unshare-all \
    --hostname data-processor \
    --die-with-parent \
    --cap-drop ALL \
    "$@"

10.4 调试技巧

技巧 1：查看沙箱进程树

# 从宿主查看沙箱进程
watch -n 1 'ps aux | grep -E "bwrap|sandbox" | grep -v grep'

# 使用 pstree 查看进程树
pstree -p $(pgrep -n bwrap)

# 查看命名空间信息
ls -la /proc/$(pgrep -n bwrap)/ns/

技巧 2：沙箱内调试

# 进入沙箱后进行调试
bwrap \
    --ro-bind / / \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    --unshare-all \
    bash

# 在沙箱内运行调试命令
echo "=== 命名空间信息 ==="
echo "User NS: $(readlink /proc/self/ns/user)"
echo "Mount NS: $(readlink /proc/self/ns/mnt)"
echo "PID NS: $(readlink /proc/self/ns/pid)"
echo "Net NS: $(readlink /proc/self/ns/net)"
echo "UTS NS: $(readlink /proc/self/ns/uts)"

echo ""
echo "=== 进程信息 ==="
ps aux
echo ""
echo "=== PID: $$ ==="
echo "=== UID: $(id) ==="

echo ""
echo "=== 文件系统 ==="
mount | head -20

echo ""
echo "=== 网络 ==="
ip addr show

技巧 3：使用 strace 追踪

# 追踪 bwrap 的系统调用
strace -f -e trace=clone,clone3,mount,umount2 bwrap --ro-bind / / bash 2>&1 | head -50

# 追踪沙箱内进程的系统调用
strace -f -e trace=open,openat,connect bwrap --ro-bind / / --unshare-all bash -c 'curl https://example.com' 2>&1

# 只追踪文件操作
strace -e trace=file bwrap --ro-bind / / bash -c 'ls /tmp' 2>&1

技巧 4：检查文件系统访问

# 使用 auditd 监控文件访问
sudo auditctl -w /etc/passwd -p r -k sandbox-read
sudo ausearch -k sandbox-read

# 或者使用 inotifywait
inotifywait -m -r /tmp/sandbox-workspace

技巧 5：网络调试

# 在沙箱内调试网络
bwrap \
    --ro-bind / / \
    --unshare-net \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    bash -c '
        echo "=== 网络接口 ==="
        ip link show

        echo ""
        echo "=== 启用 lo ==="
        ip link set lo up
        ip addr add 127.0.0.1/8 dev lo
        ip addr show lo

        echo ""
        echo "=== 测试 localhost ==="
        ping -c 1 127.0.0.1

        echo ""
        echo "=== 路由表 ==="
        ip route show
    '

技巧 6：使用 –verbose 模式（如果有）

# 某些 bwrap 版本支持调试输出
# 如果编译时启用了调试，可以使用环境变量
BWRAP_DEBUG=1 bwrap --ro-bind / / bash 2>&1 | head -20

# 或者通过 /proc 查看挂载信息
bwrap --ro-bind / / --tmpfs /tmp bash -c 'cat /proc/self/mountinfo'

技巧 7：性能分析

# 分析 bwrap 的启动时间
time bwrap --ro-bind / / --unshare-all --proc /proc --dev /dev true

# 使用 perf 分析
perf stat bwrap --ro-bind / / --unshare-all --proc /proc --dev /dev true

# 分析沙箱内程序的性能
bwrap --ro-bind / / --dev /dev --proc /proc --tmpfs /tmp \
    bash -c 'time find /usr -name "*.so" | wc -l'

10.5 常见问题与解决方案

问题 1：沙箱内程序找不到库

error while loading shared libraries: libfoo.so: cannot open shared object file

解决方案：

# 确保绑定所有必要的库路径
bwrap \
    --ro-bind / / \
    --ro-bind /usr/lib /usr/lib \
    --ro-bind /usr/lib64 /usr/lib64 \
    --ro-bind /lib /lib \
    --ro-bind /lib64 /lib64 \
    --symlink /usr/lib /lib \
    --symlink /usr/lib64 /lib64 \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    bash -c 'ldd /usr/bin/python3'

问题 2：DNS 解析失败

curl: (6) Could not resolve host

解决方案：

# 确保 /etc/resolv.conf 可访问
bwrap \
    --ro-bind / / \
    --ro-bind /etc/resolv.conf /etc/resolv.conf \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    bash -c 'nslookup example.com'

# 或者绑定整个 /etc
bwrap --ro-bind / / --dev /dev --proc /proc --tmpfs /tmp ...

问题 3：X11 应用无法显示

解决方案：

# 绑定 X11 socket
bwrap \
    --ro-bind / / \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    --bind /tmp/.X11-unix /tmp/.X11-unix \
    --setenv DISPLAY "$DISPLAY" \
    bash -c 'xeyes'

# 对于 Wayland
bwrap \
    --ro-bind / / \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    --bind "$XDG_RUNTIME_DIR/$WAYLAND_DISPLAY" "/tmp/$WAYLAND_DISPLAY" \
    --setenv WAYLAND_DISPLAY "$WAYLAND_DISPLAY" \
    --setenv XDG_RUNTIME_DIR /tmp \
    bash -c 'wayland-app'

问题 4：沙箱内无法创建临时文件

解决方案：

# 确保 /tmp 是 tmpfs
bwrap --ro-bind / / --tmpfs /tmp --dev /dev --proc /proc \
    bash -c 'echo test > /tmp/foo && cat /tmp/foo'

问题 5：参数顺序导致覆盖

解决方案：

# ❌ 错误：后面的 --ro-bind / 覆盖了前面的 --tmpfs /tmp
bwrap --tmpfs /tmp --ro-bind / / bash

# ✅ 正确：先设置基础，再覆盖
bwrap --ro-bind / / --tmpfs /tmp bash

问题 6：沙箱内信号处理

# 使用 --die-with-parent 确保信号传播
bwrap \
    --ro-bind / / \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    --die-with-parent \
    bash -c '
        trap "echo Got SIGTERM; exit" SIGTERM
        trap "echo Got SIGINT; exit" SIGINT
        echo "PID $$ waiting for signals..."
        sleep infinity
    '

# 从另一个终端发送信号
kill -TERM $(pgrep -n bwrap)

问题 7：进程泄漏

# 使用 --die-with-parent + 超时限制
timeout 60 bwrap \
    --ro-bind / / \
    --dev /dev \
    --proc /proc \
    --tmpfs /tmp \
    --die-with-parent \
    bash -c 'sleep infinity'

# 清理残留进程
pkill -f "bwrap.*sandbox"

10.6 生产环境检查清单

部署前检查

#!/bin/bash
# pre-deploy-check.sh - 部署前安全检查

echo "=== Bubblewrap 部署前检查清单 ==="
ERRORS=0

# 1. 检查 bwrap 可用性
echo -n "1. bwrap 可用性: "
if command -v bwrap &>/dev/null; then
    echo "✅ $(bwrap --version)"
else
    echo "❌ bwrap 未安装"
    ((ERRORS++))
fi

# 2. 检查 User Namespace
echo -n "2. User Namespace: "
if unshare --user --map-root-user echo "OK" &>/dev/null; then
    echo "✅ 支持"
else
    echo "❌ 不支持"
    ((ERRORS++))
fi

# 3. 检查 setuid
echo -n "3. bwrap setuid: "
BWRAP_PERMS=$(stat -c '%a' "$(which bwrap)")
if [[ "$BWRAP_PERMS" == *"4"* ]]; then
    echo "⚠️ 是 ($BWRAP_PERMS)，建议使用 user namespace"
else
    echo "✅ 否 ($BWRAP_PERMS)"
fi

# 4. 检查 seccomp
echo -n "4. seccomp 支持: "
if [ -f /proc/self/status ] && grep -q Seccomp /proc/self/status; then
    echo "✅ 支持"
else
    echo "❌ 不支持"
    ((ERRORS++))
fi

# 5. 检查内核参数
echo -n "5. unprivileged_userns_clone: "
VAL=$(cat /proc/sys/kernel/unprivileged_userns_clone 2>/dev/null || echo "N/A")
if [ "$VAL" = "1" ]; then
    echo "✅ 启用"
else
    echo "⚠️ $VAL"
fi

# 6. 检查 MAC
echo -n "6. SELinux/AppArmor: "
if command -v getenforce &>/dev/null; then
    echo "SELinux: $(getenforce)"
elif command -v aa-status &>/dev/null; then
    echo "AppArmor: installed"
else
    echo "无"
fi

# 7. 功能测试
echo -n "7. 基本功能测试: "
if bwrap --ro-bind / / --dev /dev --proc /proc --tmpfs /tmp \
    --unshare-all bash -c 'echo OK' &>/dev/null; then
    echo "✅ 通过"
else
    echo "❌ 失败"
    ((ERRORS++))
fi

echo ""
if [ $ERRORS -eq 0 ]; then
    echo "✅ 所有检查通过，可以部署"
else
    echo "❌ 有 $ERRORS 项检查失败，请修复后重试"
fi

exit $ERRORS

10.7 封装脚本模板

通用封装脚本

#!/bin/bash
# bwrap-run.sh - 通用 Bubblewrap 沙箱运行器
#
# 用法:
#   ./bwrap-run.sh [选项] -- <命令>
#
# 选项:
#   -w, --writable DIR    添加可写目录
#   -r, --readonly DIR    添加只读目录（额外）
#   -n, --no-network      禁用网络
#   -p, --no-process      隔离进程
#   -l, --level LEVEL     安全等级 (1-4)
#   -h, --help            显示帮助

set -euo pipefail

# 默认配置
WRITABLE_DIRS=()
READONLY_DIRS=()
NO_NETWORK=false
NO_PROCESS=false
LEVEL=2

# 解析参数
while [[ $# -gt 0 ]]; do
    case "$1" in
        -w|--writable)
            WRITABLE_DIRS+=("$2")
            shift 2
            ;;
        -r|--readonly)
            READONLY_DIRS+=("$2")
            shift 2
            ;;
        -n|--no-network)
            NO_NETWORK=true
            shift
            ;;
        -p|--no-process)
            NO_PROCESS=true
            shift
            ;;
        -l|--level)
            LEVEL="$2"
            shift 2
            ;;
        -h|--help)
            sed -n '2,/^$/p' "$0"
            exit 0
            ;;
        --)
            shift
            break
            ;;
        *)
            echo "Unknown option: $1" >&2
            exit 1
            ;;
    esac
done

# 构建 bwrap 参数
BWRAP_ARGS=(
    --ro-bind / /
    --dev /dev
    --proc /proc
    --tmpfs /tmp
    --tmpfs /run
    --die-with-parent
)

# 添加可写目录
for dir in "${WRITABLE_DIRS[@]}"; do
    BWRAP_ARGS+=(--bind "$dir" "/data/$(basename "$dir")")
done

# 添加只读目录
for dir in "${READONLY_DIRS[@]}"; do
    BWRAP_ARGS+=(--ro-bind "$dir" "/ro/$(basename "$dir")")
done

# 网络隔离
if $NO_NETWORK; then
    BWRAP_ARGS+=(--unshare-net)
fi

# 进程隔离
if $NO_PROCESS; then
    BWRAP_ARGS+=(--unshare-pid --hostname sandbox)
fi

# 安全等级 >= 3
if [ "$LEVEL" -ge 3 ]; then
    BWRAP_ARGS+=(--unshare-uts --hostname secure-sandbox)
    BWRAP_ARGS+=(--new-session)
    BWRAP_ARGS+=(--cap-drop ALL)
fi

# 安全等级 4
if [ "$LEVEL" -ge 4 ]; then
    BWRAP_ARGS+=(--unshare-all)
    BWRAP_ARGS+=(--clearenv)
    BWRAP_ARGS+=(--setenv PATH /usr/bin:/bin)
fi

# 执行
exec bwrap "${BWRAP_ARGS[@]}" "$@"

使用示例：

# 基本使用
./bwrap-run.sh -- bash

# 只读项目目录，无网络
./bwrap-run.sh -r ~/projects -n -- bash

# 完全隔离
./bwrap-run.sh -l 4 -- python3 script.py

# 可写数据目录
./bwrap-run.sh -w ~/data-output -- bash -c 'echo test > /data/data-output/result.txt'

10.8 迁移指南

从 Firejail 迁移

Firejail	Bubblewrap 等效
`firejail --net=none`	`--unshare-net`
`firejail --private`	`--tmpfs /home/user`
`firejail --private-tmp`	`--tmpfs /tmp`
`firejail --read-only /path`	`--remount-ro /path`
`firejail --whitelist /path`	`--bind /path /path`
`firejail --blacklist /path`	`--tmpfs /path`
`firejail --no-sound`	不绑定 PulseAudio socket
`firejail --x11`	绑定 X11 socket

从 Docker 迁移

Docker	Bubblewrap 等效
`docker run -v /host:/container`	`--bind /host /container`
`docker run --read-only`	`--ro-bind / /`
`docker run --tmpfs /tmp`	`--tmpfs /tmp`
`docker run --network none`	`--unshare-net`
`docker run --cap-drop ALL`	`--cap-drop ALL`
`docker run --pids-limit 100`	`ulimit -u 100`（在沙箱内）

10.9 社区资源

项目	说明	链接
Bubblewrap	核心沙箱工具	https://github.com/containers/bubblewrap
Flatpak	应用框架	https://flatpak.org/
xdg-desktop-portal	门户 API	https://github.com/flatpak/xdg-desktop-portal
Flatseal	权限管理 GUI	https://github.com/tchx84/Flatseal
Firejail	类似工具	https://firejail.wordpress.com/
nsjail	Google 的沙箱	https://github.com/google/nsjail
slirp4netns	用户态网络	https://github.com/rootless-containers/slirp4netns

学习资源

10.10 总结

核心要点回顾

章节	核心要点
01 概述	bwrap 是轻量级用户态沙箱，利用 Linux namespace 隔离
02 安装	优先使用 user namespace 模式，避免 setuid
03 基本用法	参数顺序很重要，`--ro-bind / /` 是常见起点
04 命名空间	7 种命名空间，按需选择分离级别
05 文件系统	只读绑定 + tmpfs 是最常用的组合
06 网络	`--unshare-net` 完全隔离网络
07 安全	`--cap-drop ALL` + seccomp + MAC 纵深防御
08 Flatpak	bwrap 是 Flatpak 的底层沙箱引擎
09 Docker	Docker 内使用需要 `--cap-add SYS_ADMIN`
10 最佳实践	最小权限、纵深防御、定期审计

黄金法则

始终使用 --ro-bind / / 作为起点
始终加上 --die-with-parent
不可信代码必须使用 --unshare-all
生产环境使用 --cap-drop ALL
定期审计沙箱配置
保持内核和 bwrap 更新

10.11 扩展阅读

上一章：第 9 章 - Docker 中使用 | 返回：教程概览

强曰为道

第 10 章 - 最佳实践

第 10 章：最佳实践

10.1 沙箱设计原则

核心原则

决策流程图

10.2 安全基线配置

基线脚本

分级安全配置

10.3 应用沙箱化方案

方案 1：浏览器沙箱

方案 2：开发环境沙箱

方案 3：文档编辑沙箱

方案 4：数据处理沙箱

10.4 调试技巧

技巧 1：查看沙箱进程树

技巧 2：沙箱内调试

技巧 3：使用 strace 追踪

技巧 4：检查文件系统访问

技巧 5：网络调试

技巧 6：使用 –verbose 模式（如果有）

技巧 7：性能分析

10.5 常见问题与解决方案

问题 1：沙箱内程序找不到库

问题 2：DNS 解析失败

问题 3：X11 应用无法显示

问题 4：沙箱内无法创建临时文件

问题 5：参数顺序导致覆盖

问题 6：沙箱内信号处理

问题 7：进程泄漏

10.6 生产环境检查清单

部署前检查

10.7 封装脚本模板

通用封装脚本

10.8 迁移指南

从 Firejail 迁移

从 Docker 迁移

10.9 社区资源

相关项目

学习资源

10.10 总结

核心要点回顾

黄金法则

10.11 扩展阅读