firejail

Firejail 是一个基于 Linux 内核特性的轻量级安全沙箱工具，用于隔离运行不受信任的应用程序。它通过 Linux namespaces（PID、网络、挂载、IPC、UTS）、seccomp-bpf 系统调用过滤和 capabilities 降权，为进程及其子进程构建独立的资源视图；支持图形应用、服务进程及用户会话沙箱化，内置主流软件（如 Firefox、Chromium）预设配置文件，无需后台守护进程或复杂配置。适用于桌面用户安全运行第三方软件、测试可疑程序、增强日常应用隔离防护等场景。