统信uos启用应用沙箱需依赖玲珑运行时，v20(2310)+系统才支持；玲珑应用默认沙箱隔离，deb包需手动配置sandbox.json并用bwrap启动，hap应用须转.uoshap格式或通过uos-hap-installer安装并确认权限中“沙箱环境”已启用。
在统信UOS系统中启用应用程序沙箱功能，是为了让第三方应用在受控隔离环境中运行，防止其越权访问系统资源或用户数据。该功能并非对所有应用自动生效，需配合玲珑（Linglong）容器化技术或手动配置沙箱权限文件才能启用。
确认系统版本与运行时环境
首先检查当前UOS是否满足沙箱运行前提：打开终端，执行 cat /etc/os-release | grep VERSION_ID，确认输出为 VERSION_ID="20(2310)" 或更高版本（如V25）。低于此版本的系统不支持HAP Runtime及完整沙箱能力。
执行 ll-cli --version 查看玲珑运行时是否已安装。若提示“command not found”，需先通过控制中心→【软件包管理】→搜索“linglong”并安装玲珑运行时组件。
这一步不可跳过——【缺少玲珑运行时会导致后续所有沙箱配置失效】。
为玲珑应用自动启用沙箱
统信UOS默认对通过应用商店安装的玲珑格式（.lko）应用强制启用沙箱，无需额外操作。验证方式：右键点击任务栏上已运行的玲珑应用图标→选择【属性】→在弹出窗口中查看“运行模式”字段，若显示“沙箱模式”，即已启用。
若未启用，请进入【控制中心】→【隐私与安全】→【应用权限管理】，找到对应应用，确保“沙箱隔离”开关处于开启状态。
为传统Deb包应用手动配置沙箱
Deb包应用默认不进入沙箱。如需强制隔离，必须创建自定义沙箱配置文件并使用bwrap启动。
第一步：在终端中创建沙箱配置目录：mkdir -p ~/.config/yourapp/sandbox。
第二步：新建权限策略文件：nano ~/.config/yourapp/sandbox.json，填入如下内容（以允许网络但禁止访问主目录为例）：
{"permissions":{"network":{"allow":true},"filesystem":{"deny":["/home","/root"]}}}
第三步：用bwrap封装启动命令。假设原程序路径为/usr/bin/yourapp，则执行：
bwrap --ro-bind / / --dev /dev --proc /proc --tmpfs /tmp --bind ~/.config/yourapp/sandbox.json /run/sandbox.json --setenv SANDBOX_CONFIG /run/sandbox.json /usr/bin/yourapp
注意：该命令每次需手动输入；如需固定使用，建议将命令保存为脚本并赋予可执行权限。
启用HAP鸿蒙应用沙箱运行
方法一：签名转换后安装
下载uos-hap-toolkit工具，将原始HAP文件转为.uoshap格式：uos-hap-toolkit sign --in app.hap --out app.uoshap。安装后系统会自动调用HAP Runtime并启用沙箱。
方法二：命令行直接安装
执行 uos-hap-installer install app.uoshap。安装完成后，在【控制中心】→【应用管理】中找到该应用，点击右侧【权限】按钮，确认“沙箱环境”状态为“已启用”。
方法三：沙箱权限映射配置
编辑/opt/yourapp/sandbox.json（路径需与HAP包内声明一致），明确声明网络白名单与端口放行规则，例如："firewall":{"outbound":["443","8080"]}。配置错误将导致应用无法联网。
