用 Firejail 给应用加沙箱隔离

借助 Linux 命名空间把任意程序与系统隔离——隐藏家目录、切断网络,或套用应用自带的安全配置文件。

Linux沙箱命令行Firejail安全低风险

执行 firejail firefox 以内置配置启动 Firefox,或执行 firejail --net=none 应用名让程序完全无法联网。

01命令

命令

$ firejail --private firefox && firejail --net=none appname

02作用说明

Firejail 会把程序包进内核命名空间、seccomp 过滤器并丢弃多余权限,让应用只看到精简后的系统。--private 会给应用一个一次性的空白家目录——非常适合打开来路不明的文件;--net=none 则彻底断网。几百个常用应用都自带现成配置文件,通常直接 firejail 应用名就会自动套用合理默认值;运行期间可用 firejail --tree 查看沙箱内的进程结构。

03风险

风险低风险

使用条件firejail (sudo apt install firejail / sudo dnf install firejail)

!注意: Firejail 依赖 setuid 二进制,这本身也是攻击面;请保持更新,并记住沙箱只是降低风险,不能让不可信软件变得绝对安全。

04撤销

✓无需撤销——该命令不会改变持久状态。

05来源

firejail(1) — Linux manual page
Arch Linux · community · 2026-09-17
依据: firejail sandboxes applications with namespaces and seccomp-bpf; --private mounts a temporary home, --net=none removes all network access, and profile files (firejail appname) apply per-app rules.
Firejail — README
Firejail project (GitHub) · vendor-doc · 2026-09-17
依据: Official readme describing Firejail as an SUID sandbox program using Linux namespaces, seccomp-bpf and capability restrictions.

最后验证: 2026-09-18 · 分类: 安全与隐私