# 查看 flatpak 应用的 bwrap 进程
ps aux | grep bwrap

# 手动使用 bwrap 创建简单沙箱（学习用途）
bwrap \
    --ro-bind / / \
    --dev /dev \
    --proc /proc \
    --unshare-pid \
    --die-with-parent \
    /bin/bash

# 在沙箱中尝试操作
ls /home/          # 可以看到（因为 --ro-bind / /）
touch /test.txt    # 失败！（只读绑定）

# 查看 Flatpak 的 seccomp 规则
# （存储在应用的 metadata 中）
flatpak info --show-metadata org.gnome.Calculator | grep -A 20 "\[Context\]"

# Flatpak 默认禁止的危险系统调用包括：
# - clone (with certain flags)
# - ptrace
# - kexec_load
# - open_by_handle_at
# - init_module / delete_module

# Manifest 中的权限声明示例
finish-args:
  # 显示
  - "--socket=wayland"
  - "--socket=fallback-x11"
  # 网络
  - "--share=network"
  # 音频
  - "--socket=pulseaudio"
  # GPU
  - "--device=dri"
  # 文件访问
  - "--filesystem=~/Documents"
  # D-Bus
  - "--talk-name=org.freedesktop.Notifications"
  # 环境变量
  - "--env=APP_VARIANT=flatpak"

# 测试网络权限
flatpak run --unshare=network org.gnome.Calculator
# 沙箱内 ping 将失败

# 查看应用的网络权限
flatpak info --show-permissions org.mozilla.firefox | grep -i network

# 查看文件系统挂载
flatpak run --command=mount org.gnome.Calculator

# 沙箱内的文件系统结构
# /app/              → 应用文件（只读）
# /usr/              → 运行时文件（只读）
# /run/user/<uid>/   → 用户运行时目录
# ~/.var/app/<id>/   → 应用私有目录（读写）
# /tmp/              → 临时目录（隔离）

# 查看应用私有目录
ls ~/.var/app/org.gnome.Calculator/
# cache/   → 缓存文件
# config/  → 配置文件
# data/    → 数据文件

# 查看 GPU 设备在沙箱中的映射
flatpak run --command=ls org.gnome.Calculator /dev/dri/

# 查看应用的 D-Bus 权限
flatpak info --show-permissions org.gnome.Calculator

# 检查 Portal 服务状态
systemctl --user status xdg-desktop-portal.service

# 查看可用的 Portal 实现
busctl --user list | grep portal

# 使用 gdbus 测试 FileChooser Portal
gdbus call --session \
    --dest org.freedesktop.portal.Desktop \
    --object-path /org/freedesktop/portal/desktop \
    --method org.freedesktop.portal.FileChooser.OpenFile \
    "" "选择文件" "{}"

# 查看 Portal 后端实现
ls /usr/share/xdg-desktop-portal/portals/
# gnome-keyring.portal  gtk.portal  ...

#!/usr/bin/env python3
# portal-demo.py - 演示在 Flatpak 沙箱中使用 Portal

import gi
gi.require_version('Gtk', '4.0')
gi.require_version('Adw', '1')
from gi.repository import Gtk, Adw, Gio
import gi.repository.Xdp as Xdp

class PortalDemo(Adw.Application):
    def __init__(self):
        super().__init__(application_id='com.example.PortalDemo')
        self.portal = Xdp.Portal()

    def do_activate(self):
        win = Gtk.ApplicationWindow(application=self)
        win.set_title("Portal 演示")
        win.set_default_size(400, 200)

        box = Gtk.Box(orientation=Gtk.Orientation.VERTICAL, spacing=12)
        box.set_margin_top(24)
        box.set_margin_bottom(24)
        box.set_margin_start(24)
        box.set_margin_end(24)

        # 发送通知按钮
        btn_notify = Gtk.Button(label="发送通知")
        btn_notify.connect("clicked", self.on_notify)
        box.append(btn_notify)

        # 打开文件按钮
        btn_open = Gtk.Button(label="打开文件")
        btn_open.connect("clicked", self.on_open_file)
        box.append(btn_open)

        win.set_child(box)
        win.present()

    def on_notify(self, button):
        """通过 Portal 发送系统通知"""
        notification = Gio.Notification.new("Portal 测试")
        notification.set_body("这条通知来自 Flatpak 沙箱！")
        self.send_notification("portal-test", notification)

    def on_open_file(self, button):
        """通过 Portal 打开文件选择器"""
        win = self.get_active_window()
        # 使用 Portal 的文件选择器
        self.portal.open_file(
            parent=Xdp.parent_new_gtk(win),
            title="选择文件",
            filters=None,
            current_folder=None,
            callback=self.on_file_selected
        )

    def on_file_selected(self, portal, result):
        try:
            uri = self.portal.open_file_finish(result)
            print(f"选择的文件: {uri}")
        except Exception as e:
            print(f"操作取消: {e}")

if __name__ == "__main__":
    app = PortalDemo()
    app.run(None)

# 查看应用权限
flatpak info --show-permissions org.gimp.GIMP

# 输出示例：
# [Context]
# shared=network;ipc;
# sockets=x11;wayland;pulseaudio;
# devices=dri;
# filesystems=host;xdg-config/GIMP;

# [Session Bus Policy]
# org.gtk.vfs.*=talk
# org.freedesktop.FileManager1=talk

# 使用 flatpak-permission-tool 查看（如果安装了）
flatpak permissions

# 安装 Flatseal
flatpak install flathub com.github.tchx84.Flatseal

# 运行 Flatseal
flatpak run com.github.tchx84.Flatseal

# 创建自定义 seccomp 规则文件
cat > /tmp/my-seccomp.json << 'EOF'
{
    "syscall": [
        "ptrace",
        "process_vm_readv",
        "process_vm_writev"
    ],
    "action": "SCMP_ACT_ERRNO"
}
EOF

# 使用自定义 seccomp 规则运行应用
# 注意：需要在 Manifest 中配置

# 运行时设置环境变量
flatpak run --env=GTK_THEME=Adwaita:dark org.gnome.Calculator

# 查看沙箱内的环境变量
flatpak run --command=env org.gnome.Calculator | sort

# 临时授予 host 文件系统访问（不修改 Manifest）
flatpak run --filesystem=host org.gnome.TextEditor

# 临时授予设备访问
flatpak run --device=all org.gimp.GIMP

# 临时禁止网络
flatpak run --unshare=network org.gnome.Calculator

# 临时启用开发者功能
flatpak run --devel org.gnome.Builder

# 症状：应用无法读写 ~/Downloads 中的文件
# 原因：应用没有 filesystem 权限
# 解决：
flatpak override --user --filesystem=~/Downloads org.example.App

# 症状：应用使用默认主题，不跟随系统主题
# 原因：缺少主题扩展
# 解决：
# 1. 安装主题的 Flatpak 扩展
flatpak install flathub org.gtk.Gtk3theme.Adwaita-dark

# 2. 或使用主题扩展（参见第 8 章）

# 查看错误日志
flatpak run --verbose org.example.App 2>&1 | grep -i "error\|denied\|permission"

# 常见原因：
# - 缺少 socket 权限
# - 缺少 D-Bus 访问权限
# - seccomp 阻止了必要的系统调用

# 检查 PulseAudio 权限
flatpak info --show-permissions org.example.App | grep pulseaudio

# 检查 PulseAudio 服务
pactl info

# 在 PipeWire 环境下检查
pw-cli info 0

# 创建企业应用权限策略文件
cat > /etc/flatpak/enterprise-policy.json << 'EOF'
{
    "allowed-permissions": [
        "network",
        "wayland",
        "pulseaudio",
        "dri"
    ],
    "denied-permissions": [
        "host",
        "home",
        "all-devices"
    ],
    "allowed-dbus-talk": [
        "org.freedesktop.Notifications",
        "org.freedesktop.portal.*"
    ]
}
EOF

# 使用 Flatpak override 批量应用策略
for app in $(flatpak list --app --columns=application); do
    flatpak override --system --reset "$app"
    flatpak override --system --unshare=network "$app"  # 示例：禁止网络
done

# 禁止所有应用的网络访问
for app in $(flatpak list --user --app --columns=application); do
    flatpak override --user --unshare=network "$app"
done

# 只允许特定应用访问网络
flatpak override --user --share=network org.mozilla.firefox