dirblock

dirblock 借助 Linux fanotify 的 `FAN_OPEN_PERM` 在 VFS 挂载层拦截文件打开，再按目录为进程、命令行或祖先进程设置 allowlist；这种位置也使换一种符号链接拼法不能绕过目录策略。它提供 exact、prefix 和 dry-run 模式，但守护进程崩溃或事件错误时选择 fail-open，且不验证获准可执行文件本身的真实性。作为误操作防护它很直接，若被当成强安全边界，则命令行匹配与失效策略都需要额外加固。