使用prctl组合PR_SET_NO_NEW_PRIVS和PR_SET_SECCOMP可轻量沙箱化Worker进程：前者禁execve提权，后者通过strict或filter模式限制系统调用；需在fork/exec前设置，并补充禁coredump、设线程名等加固措施。

直接用 prctl 限制 Worker 进程的内核权限，核心是组合使用 PR_SET_NO_NEW_PRIVS 和 PR_SET_SECCOMP 两个选项。它们不依赖 root 权限，可在进程启动早期调用，生效后不可撤销，是构建轻量级沙箱的基础。

禁用权限提升能力（防 execve 提权）

调用 prctl(PR_SET_NO_NEW_PRIVS, 1, 0, 0, 0) 后，该进程及其所有子进程（包括 fork 或 clone 创建的）将无法通过 execve 获得新特权。这意味着：

• 即使二进制文件设置了 setuid/setgid，执行后也不会提权
• 无法加载带文件能力（file capabilities）的程序来绕过限制
• SELinux / AppArmor 等 LSM 的上下文切换也会被拒绝

这一步必须在 fork 子进程前完成，否则子进程可能继承未设限的状态。

启用 seccomp 沙箱（白名单系统调用）

有两种常用方式，按安全强度和灵活性区分：

• 严格模式（SECCOMP_MODE_STRICT）：仅允许 read、write、exit、sigreturn 四个调用。调用 prctl(PR_SET_SECCOMP, SECCOMP_MODE_STRICT) 即可，无需额外参数，适合极简场景
• 过滤模式（SECCOMP_MODE_FILTER）：用 BPF 规则自定义允许的系统调用及参数。需配合 seccomp_init、seccomp_rule_add 等 libseccomp 函数，例如只放行 read、write、clock_gettime 和 getpid，其他一律 KILL

注意：过滤模式下，若规则未显式允许 rt_sigreturn 或 sigreturn，信号处理会失败，导致进程异常终止。

配套加固：关闭核心转储与命名控制

仅靠权限和系统调用限制还不够，建议补充以下两项：

• 调用 prctl(PR_SET_DUMPABLE, 0) 禁止生成 core dump，防止内存敏感信息泄露
• 调用 prctl(PR_SET_NAME, "worker-sandbox") 设置线程名，便于监控识别，避免被误杀或混淆

这些操作都应在 Worker 进程初始化完成、业务逻辑开始前一次性执行完毕。

实际部署注意事项

Worker 进程若由父进程 fork 后 exec 启动，必须确保：

• 父进程在 fork 前已设置 PR_SET_NO_NEW_PRIVS，否则子进程不会继承
• seccomp 规则必须在 exec 之后、业务代码运行之前加载，否则动态链接库初始化阶段可能触发非法系统调用
• 如 Worker 使用多线程，每个线程都应独立设置 PR_SET_NAME，避免 ps/top 中显示混乱

不复杂但容易忽略