chroot构建开发测试沙箱的核心是“隔离视图+最小依赖”，通过精简复制必要文件、挂载proc/dev、以非特权用户进入，实现防误操作、版本冲突和路径污染，但无法防御提权或内核级绕过。
用 chroot 构建开发测试沙箱，核心是“隔离视图 + 最小依赖”，不是复制整个系统。它不能防提权或绕过内核限制，但能有效阻止误操作、版本冲突和路径污染——对日常编译、脚本验证、依赖调试足够实用。
准备干净的根目录结构
选一个专用路径，比如 /opt/dev-sandbox，只给 root 写权限：
- 创建基础目录：
sudo mkdir -p /opt/dev-sandbox/{bin,lib64,usr/bin,etc,dev,proc,home/testdev} - 设权限：
sudo chown root:root /opt/dev-sandbox && sudo chmod 755 /opt/dev-sandbox - 用户主目录归开发者所有：
sudo chown testdev:testdev /opt/dev-sandbox/home/testdev
精简复制必要文件和依赖
别盲目拷全 /bin 或 /usr —— 这既冗余又易出错。按需提取：
- 放一个 shell（如 bash）：
sudo cp /bin/bash /opt/dev-sandbox/bin/ - 查它依赖哪些库：
ldd /bin/bash | grep '/lib' | awk '{print $3}' | xargs -I{} sudo cp {} /opt/dev-sandbox/lib64/ - 加几个常用工具（按实际需要）：
sudo cp /usr/bin/{gcc,make,git,ls,cat} /opt/dev-sandbox/usr/bin/，再用同样方法补上它们的依赖库 - 基础配置文件：
sudo cp /etc/{passwd,group,resolv.conf} /opt/dev-sandbox/etc/；可手动编辑/opt/dev-sandbox/etc/passwd，把testdev的 shell 改为/bin/bash、家目录改为/home/testdev
挂载虚拟文件系统与设备节点
没有 /proc 和 /dev，很多命令（如 ps、gcc）会失败：
- 挂载 proc：
sudo mount -t proc none /opt/dev-sandbox/proc - 挂载 dev（绑定方式更稳妥）：
sudo mount --bind /dev /opt/dev-sandbox/dev - 若需独立设备节点（如禁用绑定），用
mknod创建关键节点：sudo mknod -m 666 /opt/dev-sandbox/dev/{null,zero,random,urandom} c 1 3 1 5 1 8 1 9
进入并验证沙箱环境
用 --userspec 直接以目标用户身份启动，避免权限混乱：
- 执行：
sudo chroot --userspec=testdev:testdev /opt/dev-sandbox /bin/bash - 进沙箱后验证：
pwd应显示/；ls /只能看到你复制的目录；ls /usr/bin/gcc && gcc --version确认工具可用；尝试cat /etc/shadow或ls /host-root（如果宿主机有该路径）应报错 - 退出后记得卸载：
sudo umount /opt/dev-sandbox/{proc,dev}
不复杂但容易忽略：每次更新工具或加新依赖，都要重新检查 ldd 输出；若用于 CI 或多用户场景，建议配合 cgroups 限 CPU/内存，或改用 systemd-run --scope --property=... chroot ... 做轻量资源约束。
