chroot不是容器，仅切换根目录且无任何隔离机制；需目标目录含完整运行环境（如bash、动态链接器、passwd等），依赖root权限和非符号链接路径，推荐用debootstrap等工具构建，并手动挂载/proc等虚拟文件系统。
chroot 不是容器，它只切换根目录，不隔离进程、网络或用户空间——直接用它跑完整系统会出问题。
chroot 命令的基本用法和必要前提
chroot 的本质是把某个目录临时当作 /，但要求该目录里有完整的可运行环境：至少包含 /bin/bash、/lib64/ld-linux-x86-64.so.2（或对应架构的动态链接器）、/etc/passwd 等基础文件。缺任何一个，chroot /mnt/myroot /bin/bash 都会报 no such file or directory，其实不是找不到 bash，而是找不到它依赖的动态库。
- 必须用 root 权限执行
chroot - 目标目录不能是符号链接（
chroot会拒绝） - 提前用
ldd /path/to/binary查清二进制依赖的 so 文件，再用cp或rsync把它们连同目录结构一起复制进去 - 如果目标系统是不同 CPU 架构（比如在 x86_64 上 chroot 到 arm64 根文件系统），必须配合
qemu-user-static注册解释器
如何安全地准备一个最小可用的 chroot 环境
手动复制太容易漏依赖，推荐用 debootstrap（Debian/Ubuntu）或 dnf --installroot（Fedora/RHEL）生成干净根目录。以 Ubuntu 22.04 为例：
sudo debootstrap jammy /mnt/chroot-root http://archive.ubuntu.com/ubuntu/
完成后，该目录就具备了基本 shell 运行能力。但注意：
-
debootstrap默认不装内核和 initramfs，chroot 里不能重启或关机 -
/proc、/sys、/dev在 chroot 内不可见，需手动挂载：sudo mount -t proc /proc /mnt/chroot-root/proc - 若要解析域名，得把宿主机的
/etc/resolv.conf复制进去，否则ping不通外网
chroot 后为什么命令找不到或报 Segmentation fault
最常见两类原因：一是动态链接器路径硬编码在二进制中（readelf -l /bin/bash | grep interpreter 可查看），chroot 后找不到 /lib64/ld-linux-x86-64.so.2；二是 libc 版本不匹配，比如宿主机是 glibc 2.35，chroot 里是 2.28，调用新符号就会段错误。
- 用
file /bin/bash确认是否为动态链接可执行文件（output 含 “dynamically linked”） - 用
strace -e trace=openat,chdir,chroot /usr/sbin/chroot /mnt/root /bin/bash 2>&1 | grep -E "(open|chdir)"观察实际打开路径，快速定位缺失文件 - 不要试图在 chroot 里升级 glibc——极大概率直接崩溃，应重建整个 rootfs
chroot 和 systemd-nspawn、podman 的关键区别在哪
chroot 是纯用户态系统调用，零开销但零隔离；systemd-nspawn 在 chroot 基础上自动挂载 /proc//sys、设置 hostname、限制设备节点，并支持轻量级 cgroup 控制；podman run --isolation=chroot 实际仍走 OCI runtime（crun/runc），做了更多命名空间封装。简单说：
- 调试单个程序依赖？用
chroot+ldd最快 - 需要网络、进程列表隔离？直接上
systemd-nspawn -D /mnt/root - 要复用镜像、管理生命周期？别碰 chroot，选
podman或docker
真正容易被忽略的是：chroot 环境里的 kill -9 能干掉宿主机任意进程（PID 命名空间未隔离），而很多人以为“进了 chroot 就安全了”。
