sandbox

Overview ¶

Linux 后端编排：施加序与探测子进程（真源 §2.1/§1.3）。

capability SID 派生（windows 后端的平台无关部分，真源 §4）：按可写根 路径确定性派生 S-1-4-x-y（dsh workspace-sid.ts 蓝本，subauthority 30-bit）。 确定性 = 跨会话/跨进程重启稳定——工作区根的 standing ACE 只需授予一次 （codex cap.rs 的随机 SID 方案要持久化状态文件，丢档即孤儿 ACE）。SID 字符串本身不是秘密：权力完全由命名它的 ACE 定义，且只在本进程铸造的 restricted token 里携带。

DockerProvider Docker 一次性容器后端（dockerWrap 正规化迁移——既有 EINO_RUN_DOCKER env 魔法开关与「绕过 policy」优先级告警退役，策略翻译 进容器参数）。形态定位 = 真源 §5.3 的过渡形态：一次性容器（--rm 每命令 一弹）；终局 = §0.2/§5.3 的每会话长驻容器（Manus 形态——懒启动/会话终 销毁、只挂工作区、凭证在围栏外），届时本 Provider 的 Wrap 改实现为 docker exec、容器生命周期归 Provider 内部，接口形状不变。

策略翻译（只收紧不放宽）：

Mode readonly         → --read-only + 工作区 :ro 挂载
Mode workspace-write  → --read-only（容器根只读）+ 工作区 :rw
Mode danger-full      → 容器根可写（隔离仍在——容器即边界）+ 工作区 :rw
Network=false         → --network none；true = 默认 bridge
WritableRoots         → 同路径 :rw 追加挂载（缓存类目录逃生门，与 OS 档同义）
ProtectedReadOnly     → 同路径 :ro 子挂载（嵌套 bind 遮蔽——docker 按路径
                        深度解析覆盖顺序，Landlock 做不到的回盖此处可治）
Env                   → -e 逐条注入；容器面天然最小环境（不继承宿主 env，
                        EnvMode 对本后端无操作面）
Limit.NProc           → --pids-limit（FileSizeMB 无 docker 等价面，不翻译）

已知缝隙（真源 §5.3 缝隙②，随终局长驻形态治）：docker run attached 形态 下杀 docker CLI 进程不终止容器——run_command 后台任务的 task_stop 只杀 CLI，容器残留至自身退出（--rm 缓解一次性，长任务仍有窗口）。

降级语义（审查 A-3 明示）：daemon 不可达 → nil argv，调用方按姿态降级 （当前接线 = auto：命令裸跑于宿主进程环境，容器隔离失效——启动告警已 如实声明；fail-closed 拒跑属 require 姿态接线，真源 §10.4）。

re-exec 哨兵协议（真源 §2.1）：run_command 侧以 [<exe>, "__einox-sandbox", "--", "sh", "-c", <cmd>] re-exec 产品自身，产品 main() 顶部挂 RunHelper 拦截哨兵子命令——helper 路径内施加策略（LockOSThread → NO_NEW_PRIVS → seccomp → Landlock → rlimit）后 syscall.Exec 真实命令。策略 JSON 经 env 传递（不污染 ps 输出）；exe 路径 init 期 os.Executable() 固化（审查 C2： os.Args[0] 相对形态在子进程 cwd 下解析落空）。依赖产品 main 挂钩是本机制 唯一侵入点（一行）——未挂钩时探测报 unusable 而非静默裸跑（审查 C1）。

Landlock 文件系统围栏——dsh native/landlock-run main.c（C11）的 Go 直译 （第一参照）。UAPI 经 x/sys/unix（syscall 号/访问位常量 = 内核稳定契约， 不依赖内核头），属性结构自携最小形并显式传内核 size——x/sys 结构含 ABI4/6 字段（24 字节），旧内核自身 struct 只有 8 字节时 size 超限直接 E2BIG。规则只能授不能收（allow-list 联合语义）：可写根内只读回盖 （ProtectedReadOnly，如 .git）做不到——探测面如实报 partial + 未覆盖项 （真源 §2.2）。

进程组治理（沙箱形态进程组杀的前提——修 stopTask 只杀单进程瑕疵的 沙箱路径部分，真源 §2.1）。

rlimit 资源限额（helper 内 exec 前 setrlimit，真源 §2.4）：NPROC 默认 512 ——内核按有效 uid 计数且含线程，容器形态下服务进程 Go 运行时线程与同 uid 任务共享同一预算，256 会被「服务高线程 + go build -p 并行 fork」打穿 且报 EAGAIN 不命中拒绝签名；FSIZE 默认 1GB 防写满挂载卷；CORE=0。跳过 RLIMIT_AS——Go 工具链运行时/链接器 GB 级虚拟地址预留会被误杀，内存硬 限额归 cgroup/容器层。

Package sandbox 提供 run_command 执行面的 OS 级沙箱机制（Phase S）： 策略模型（三档/网络开关/可写根/限额，平台无关）+ re-exec 哨兵协议 （Landlock/seccomp/rlimit 必须 fork 后 exec 前在子进程内施加，Go self re-exec 惯例，codex helper 同构）+ 后端探测三态如实上报（dsh 式）。 机制归基座、选择归业务：应用装配层决定用不用/用哪档/参数（PM 默认关 opt-in），基座承载实现与安全不变量。设计 = 2026-08-26 沙箱设计定案 （含同日独立审查修订）。

Seatbelt profile 纯构造（darwin 后端的平台无关部分，真源 §3）：组装 顺序对齐 codex seatbelt.rs——base（deny default 起手）→ file-read 段 → file-write 段 → 网络段 → 保护子路径 require-not 排除 → 锚点 deny。路径 全部经 -D KEY=VALUE 参数注入、profile 内 (param "KEY") 引用——路径不拼进 policy 字符串（转义/注入面，codex 同款纪律）。本文件零 fs 调用（纯字符串 构造，任意平台可单测）；路径规范化（嵌套 symlink 拒绝/顶层别名解析）在 seatbelt_darwin.go 运行时侧。

seccomp BPF 断网围栏（手写经典 BPF，x/sys/unix 原语）。deny 清单逐条照抄 codex linux-sandbox/landlock.rs L179-216：recvfrom 故意放行（socketpair+ 子进程管理的工具兼容性，codex 注释原话照搬）；connect 无条件 deny 连 AF_UNIX 也断——防 docker.sock 类逃逸的故意设计（codex 同款，真源 §2.3 D3 披露：docker CLI / psql -h /sock 类本地 socket 客户端同断）。 default allow + 命中返回 EPERM；audit arch 不符（32 位兼容模式号表错位） KILL_PROCESS fail-closed。号表仅 x86_64/aarch64（x/sys per-arch 常量）， 其余架构由 backend_stub 运行时桩报 unusable（审查 B2）。

Linux 分支 Wrap 装配：re-exec 哨兵形（真源 §2.1）。arch 桩平台同样编入 本文件（不可达——unsupported-arch 探测 unusable 已在 Wrap 短路）。