bubblewrap

Bubblewrap 是一个低权限沙箱工具，主要用于Flatpak等类似项目中提供安全隔离环境。它利用Linux内核的用户命名空间特性，让非特权用户也能使用容器功能，从而构建出安全的沙箱环境。核心功能包括通过`PR_SET_NO_NEW_PRIVS`禁用setuid二进制文件以防止权限提升，同时允许灵活配置沙箱的安全策略和文件系统布局。适合用于需要为普通用户提供有限且安全的执行环境的场景，如应用打包、软件分发平台或任何希望在不赋予完全root权限的情况下运行受限进程的情况。