火狐浏览器需启用并强化沙盒隔离：一、设security.sandbox.content.level为4且disabled为false；二、启用rlbox及hunspell/graphite隔离；三、禁用wasm_threads与sharedarraybuffer；四、nightly/beta中开启fission；五、windows下启用win32k锁定。
如果您在使用火狐浏览器时遭遇网页挂马、脚本越权调用系统资源或疑似沙箱逃逸行为，则很可能是浏览器进程沙盒未启用、配置等级不足或关键隔离机制被绕过。以下是开启并强化火狐浏览器安全进程沙盒隔离的具体操作路径：
一、确认并启用基础进程沙盒（Windows/Linux/macOS通用）
Firefox 默认在支持的操作系统上启用进程级沙盒，但部分旧版系统、精简安装或策略组策略可能禁用该功能。需手动验证并强制启用。
1、在地址栏输入 about:config 并回车，点击“接受风险并继续”。
2、在搜索框中输入 security.sandbox.content.level，确认其值不为 -1 或 0；若为 -1（禁用）或 0（最低），双击该条目将其设为 4（推荐最高可用等级）。
3、再搜索 security.sandbox.content.disabled，确保其值为 false；若为 true，双击切换为 false。
4、重启 Firefox 使设置生效。
二、启用 RLBox 内存沙箱以隔离第三方库
RLBox 是 Firefox 独有的细粒度内存隔离技术，可防止字体渲染、拼写检查等 C/C++ 第三方组件中的零日漏洞逃逸至主进程。该功能默认启用，但需确认其运行状态并激活高危模块隔离。
1、访问 about:support 页面，向下滚动至“沙箱”区块。
2、查找 “RLBox status” 行，确认其显示为 Active；若为 Inactive，检查是否启用了 dom.webgpu.enabled（需为 true）及 gfx.webrender.all（建议设为 true）。
3、在 about:config 中搜索 security.sandbox.rlbox.enabled，确保值为 true。
4、搜索 security.sandbox.rlbox.hunspell.enabled 与 security.sandbox.rlbox.graphite.enabled，均设为 true。
三、禁用高危 Web API 以压缩攻击面
即使沙盒启用，WebAssembly 线程、SharedArrayBuffer 等接口仍可能被用于侧信道攻击或绕过内存保护。关闭非必要接口可显著提升沙盒整体有效性。
1、在 about:config 中搜索 javascript.options.wasm_threads，双击设为 false。
2、搜索 dom.sharedarraybuffer.enabled，设为 false。
3、搜索 dom.postMessage.sharedArrayBuffer，设为 false。
4、搜索 media.webspeech.recognition.enable，如无需语音识别，设为 false。
四、启用站点隔离（Project Fission）预览版
Project Fission 是 Firefox 的网站级隔离方案，将不同来源的网页严格分隔至独立内容进程，从根本上阻断跨站数据窃取与 Spectre 类侧信道攻击。该功能已在 Nightly 与 Beta 渠道稳定提供。
1、下载并安装 Firefox Nightly 或 Firefox Beta 版本（非正式版）。
2、在新安装的浏览器中访问 about:config。
3、搜索 fission.autostart，设为 true。
4、搜索 fission.site_isolation_enabled，设为 true。
5、重启浏览器后，访问 about:support，在“进程”部分确认出现多个“Site Isolation”标识进程。
五、强化渲染器进程权限限制（Windows专属）
Windows 平台下，Firefox 可启用 Win32k 锁定机制，大幅收窄渲染器进程对高危内核系统调用（如 GDI、USER32）的访问权限，有效防御常见沙箱逃逸路径。
1、确保操作系统为 Windows 10 1809 或更高版本，且已启用核心隔离（Core Isolation）中的“基于虚拟化的安全性（VBS）”。
2、在 about:config 中搜索 security.sandbox.windows.enforce-win32k-lockdown。
3、双击该条目，将其值由 false 改为 true。
4、搜索 security.sandbox.windows.downgrade-privileges，确认其值为 true。
