linux服务进程权限隔离靠systemd沙箱机制，通过privatetmp、protectsystem、protecthome、restrictsuidsgid、nonewprivileges和dynamicuser等配置实现临时区隔离、系统路径锁定、提权链阻断及动态uid分配。
Linux 实现系统服务间进程权限空间隔离，关键不是靠手动建目录或改用户，而是用 systemd 内置的沙箱机制，在服务单元文件里几行配置就能完成。核心目标是让每个服务运行在逻辑独立、互不可见、无法越权的环境中。
用 PrivateTmp 隔离临时文件空间
服务写 /tmp 或 /var/tmp 时，默认会混用主机全局目录，容易造成文件冲突或敏感信息泄露。启用 PrivateTmp 后，systemd 会在服务启动时自动挂载一个专属 tmpfs，应用仍用 /tmp 路径，实际访问的是自己的副本。
- 在服务单元文件（如 /etc/systemd/system/myapp.service）的 [Service] 段添加：PrivateTmp=yes
- 无需提前创建目录，也不需修改应用代码，完全透明
- 验证方式：systemctl show myapp | grep PrivateTmp 应返回 yes；再用 sudo nsenter -t $(pgrep -f myapp) -m -p ls /tmp 查看是否只看到本服务生成的文件
用 ProtectSystem 和 ProtectHome 锁死关键路径
PrivateTmp 解决了临时区，但服务仍可能误写 /etc、读取 /home 下其他用户数据。这两项设置不提供“私有目录”，而是通过只读挂载和路径屏蔽，从源头切断越权路径。
- ProtectSystem=strict：将 /usr、/boot、/etc 全部设为只读，且禁止在其下新建挂载点
- ProtectHome=read-only：使 /home、/root、/run/user 对服务只读，防止窥探用户数据
- 两者可与 PrivateTmp 同时启用，形成“临时区隔离 + 系统区锁定”的组合防护
用 RestrictSUIDSGID 和 NoNewPrivileges 阻断提权链
即使服务以 root 运行，这些选项也能让常见提权手段失效——比如执行带 SUID 的二进制、或通过 execve 继承更高权限。
- RestrictSUIDSGID=true：服务进程无法创建或执行任何带 SUID/SGID 位的文件，即便存在也无效
- NoNewPrivileges=true：禁止所有后续 execve 调用获得比当前进程更高的权限，彻底封堵 setuid 类逃逸
- 它们不影响服务正常功能，但能拦截大量已知利用链，适合所有非特权升级必需的服务
用 DynamicUser 实现无状态 UID 隔离
对不需要固定身份的服务（如静态 Web 服务、轻量 API），DynamicUser 是更彻底的隔离方式：每次启动动态分配 UID/GID，退出即释放，避免 UID 泄露或长期复用风险。
- 在 [Service] 段添加：DynamicUser=yes
- 启用后自动激活 PrivateTmp、ProtectSystem、ProtectHome 等保护项（除非显式覆盖）
- 注意：不能用于依赖固定 UID 的场景（如需写入特定 /var/lib/myapp 目录），此时应配合 StateDirectory=myapp 显式声明数据目录并设好权限
