chroot环境需手动挂载/proc、/dev、/sys三大虚拟文件系统，顺序为先/proc和/sys、再/dev；退出时须依次卸载，可结合unshare实现命名空间隔离。
chroot 环境本身不自动挂载任何文件系统，它只改变进程看到的根路径。要让环境正常运行，必须手动挂载关键虚拟文件系统——否则像 ps、ls /proc 或设备访问类命令会直接失败。
必须挂载的三大虚拟文件系统
这些不是真实磁盘分区，而是内核动态生成的接口，需显式挂载进 chroot 根目录对应位置：
-
/proc：提供进程与内核状态信息。挂载命令：
sudo mount -t proc proc /mnt/chroot_env/proc -
/dev：需用 bind 挂载宿主机的设备节点（不能复制），否则无
/dev/null、/dev/pts等基础设备。sudo mount -o bind /dev /mnt/chroot_env/dev -
/sys：暴露内核参数、设备拓扑等。挂载命令：
sudo mount -t sysfs sysfs /mnt/chroot_env/sys
挂载顺序和依赖关系
顺序影响可用性。建议按以下步骤操作，避免因依赖缺失导致命令报错：
- 先挂载
/proc和/sys，它们不依赖其他挂载点 - 再挂载
/dev，因为部分设备节点（如/dev/pts）需在/proc已就位后才能正确工作 - 若需网络功能，还需复制或挂载
/etc/resolv.conf和/etc/hosts
退出前务必卸载，防止残留
chroot 退出后，挂载点仍存在于宿主机中，可能干扰后续操作：
- 依次卸载：
sudo umount /mnt/chroot_env/{proc,sys,dev} - 检查是否残留：
mount | grep chroot_env - 若提示 “busy”，说明有进程仍在使用（如未退出的 shell），可加
-l（lazy）选项强制卸载
进阶控制：只读挂载与命名空间隔离
默认挂载是读写模式。如需增强安全性或防止误操作：
- 对
/proc或/sys使用-o ro挂为只读（但多数场景需读写） - 结合
unshare --user --pid --mount启动新命名空间，再 chroot，可避免影响宿主机挂载表 - 注意：
chroot本身不隔离挂载命名空间，需配合unshare或容器运行时才真正独立
