Software Sandboxing: The Basics (2025)

Emilua 将沙箱归纳为程序化、无管理员权限的可裁量权限下降，建议用进程隔离、actor 消息和 capability 文件描述符组合出边界。作者偏爱 Capsicum 的 cap_enter，因为它关闭 ambient authority；引用的 Chromium 对比中，Capsicum 约 100 行改造即可工作，而 seccomp 方案约 11,301 行，凸显接口复杂度差异。