bubblewrap

Bubblewrap 是一个面向普通用户的低权限沙箱工具，利用 Linux 用户命名空间实现无需 root 权限的进程隔离。其核心功能是通过 `bwrap` 命令行程序构建轻量级、可定制的文件系统视图与进程边界，支持挂载绑定、只读/不可见路径、能力限制及 `PR_SET_NO_NEW_PRIVS` 安全加固。它不提供预设安全策略，而是作为底层沙箱原语被 Flatpak 等上层框架调用。适用于桌面应用沙箱化、非特权容器运行时、软件分发隔离等场景，强调最小权限原则与用户态可控性。