沙箱权限配置的核心原则是最小必要与显式拒绝：默认拒绝所有权限，按需显式授权；路径须标准化校验，环境变量需严格限制，网络与子进程调用必须明确声明；Node.js 用 --experimental-permission 配合 --deny-net 等参数，Python 则需系统级隔离而非仅依赖 ast 解析。
沙箱权限配置的核心原则：最小必要 + 显式拒绝
开发库的沙箱不是“关起来就安全”，而是让每个操作都经过显式授权或明确拦截。默认拒绝所有权限，再按需开通；任何未声明的系统调用、文件路径、网络目标都会被阻断。这和 linux 的 seccomp-bpf 或 node.js 的 --experimental-permission 机制逻辑一致——不写白名单，等于没授权。
常见错误是把沙箱当成“隔离容器”来用，结果只限制了进程可见性，却放行了 fs.open、require、process.env 等高危 API。真正的沙箱必须控制行为，而非仅控制视图。
- 权限粒度要落到具体函数调用，比如允许
fs.readFile但禁止fs.writeFile - 路径白名单必须绝对化，
/tmp/不等于/tmp/../etc/passwd，得做路径规范化校验 - 环境变量不能全量继承，
process.env应为空对象或仅含预设键（如LANG）
Node.js 开发库沙箱：用 --experimental-permission 控制 API 访问
Node.js v20+ 提供原生沙箱支持，但默认不启用，且需配合 --no-addons 和 --disable-proto=throw 才算完整。单独加 --experimental-permission 只是起点，不设白名单等于没开。
典型使用场景是运行用户上传的脚本（如 CI 中的自定义构建步骤），或本地插件系统。此时你要决定：是否允许 require('child_process')？是否允许 fetch('https://api.example.com')？这些都得在启动时声明。
- 启用基础沙箱：
node --experimental-permission --allow-fs-read=/home/dev/src --allow-env=NODE_ENV - 禁止全部网络：
--deny-net，比留空--allow-net更可靠 -
--allow-child-process风险极高，除非你明确需要spawn('git')，否则一律禁用 - 注意兼容性：v20 的权限模型在 v21 有微调，
--allow-fs-write在 v21 中已拆分为更细的--allow-fs-write-dir
Python 沙箱难点：exec 和 import 无法靠 sys.path 限制住
Python 没有官方沙箱机制，sys.path = [] 或重置 __builtins__ 很容易被绕过。攻击者用 __import__('os').system('id') 或 eval(compile(..., mode='eval')) 就能逃逸。真正有效的做法是结合字节码分析 + 运行时钩子。
推荐方案是用 pysandbox（非 pip 默认包）或自建受限解释器，但更现实的做法是：用 subprocess.run 启动独立 Python 进程，并通过 seccomp 或 firejail 做系统级限制。
- 别信
ast.parse静态检查——它不防getattr(__import__('os'), 'system') -
importlib.util.spec_from_file_location仍可加载任意路径模块，必须配合open()的 syscall 拦截 - 若必须用
exec，先用compile(source, '', 'exec')获取 code object，再检查co_names是否含'open'、'__import__'等敏感名
权限误配最常踩的坑：信任了临时目录、忽略符号链接与相对路径
很多人给沙箱加了 --allow-fs-read=/tmp，觉得“只是读临时文件很安全”。但 /tmp/foo 可能是链接到 /etc/shadow，或者脚本里写 open('../../etc/passwd')，而沙箱没做路径归一化，就直接放行了。
另一个隐形雷区是时间权限：Date.now() 或 process.uptime() 能辅助侧信道攻击，推断系统负载甚至其他进程存在；而 performance.now() 的高精度计时可能泄露加密操作耗时。
- 所有路径白名单必须经
path.resolve()或os.path.abspath()标准化后再比对 - 禁用符号链接解析：Linux 下用
openat(AT_FDCWD, path, O_RDONLY | O_NOFOLLOW)，避免open("/tmp/link", ...)实际打开目标文件 - 如果业务真不需要时间信息，直接 monkey patch
Date构造函数或重置process.hrtime
沙箱配置不是一次性动作，每次新增依赖、升级运行时、更换部署环境，都得重新验证权限边界是否依然紧闭。最危险的时刻，往往是“上次跑通了，这次应该也行”的时候。
