OverlayFS实现“即用即弃”环境的核心是三层目录物理隔离、强制安全挂载选项（redirect_dir=on、index=on、noexec,nosuid,nodev）及沙箱生命周期自动化控制，配合命名空间达成完整隔离。
用 OverlayFS 实现“即用即弃”的业务运行环境，核心是让每次启动都干净独立、所有变更自动销毁，同时不碰原始系统。关键不在挂载命令本身，而在三层目录的物理隔离、挂载选项的强制约束、以及沙箱生命周期的严格控制。
分层目录必须物理分离且权限锁死
lowerdir、upperdir、workdir 不能混在同一分区，也不能用软链接或共享路径伪装隔离：
-
lowerdir：放只读基础环境（如精简 rootfs 或预装工具链的 tar 解压目录），执行
chown root:root && chmod 555，彻底禁写、禁执行、禁 suid -
upperdir：必须挂载在独立可写文件系统上（推荐 tmpfs 或专用 ext4 分区），创建后立即
chown -R appuser:appuser并chmod g-s,o-s清除 setgid/setuid 位 - workdir：与 upperdir 同一文件系统，仅用于 OverlayFS 内部原子操作；每次启动前清空内容，不存放任何用户数据或配置
挂载时必须启用安全选项组合
默认挂载行为宽松，容易绕过隔离逻辑。以下选项缺一不可：
Zynq Linux Hardware Debug
下载
Zynq‑7000 / Zynq UltraScale+ 硬件调试技能。适用于 Xilinx Zynq（Cortex‑A9/A53 + FPGA）Linux 环境，调试 I2C、I2S、UART、GPIO 等外设。包括设备树配置、内核驱动、用户空间调试工具、交叉编译和常见问题排查，支持 PetaLinux 开发。
-
redirect_dir=on：确保
rename()等目录操作能正确重定向到 upperdir，防止路径解析漏洞导致 lower 文件被意外覆盖 - index=on：启用硬链接索引，避免多个 hardlink 指向同一 lower 文件时触发 copy-up 错误，保障元数据一致性
- noexec,nosuid,nodev：从挂载层面禁止执行、提权和设备访问，即使 upperdir 被写入恶意二进制或设备节点也无效
每次启动都是全新实例，退出即销毁
所谓“即用即弃”，不是靠人工清理，而是流程固化：
- 为每个业务实例生成唯一标识（如 UUID 或时间戳），并据此创建独立的
upperdir和workdir目录 - 启动前强制执行
rm -rf $upperdir && mkdir -p $upperdir $workdir，杜绝残留状态或持久化攻击面 - 业务结束时调用
umount /merged，然后直接rm -rf $upperdir $workdir—— 所有运行时修改瞬间归零 - 如需保留输出，仅允许显式
cp -r /merged/tmp/output/ /host/exports/，禁止直接读取 upperdir 内部结构
叠加命名空间补全隔离边界
OverlayFS 只管文件系统层，还需配合内核命名空间才能真正“看不见、摸不着”：
- 用
unshare -r -U -m -n -p --fork启动沙箱进程，获得独立 user、mount、network、pid 命名空间 - 在新 mount namespace 中执行 overlay 挂载，确保宿主机挂载点对沙箱不可见
- 配合 seccomp-bpf 过滤危险系统调用（如
mount、ptrace、setns），防逃逸 - 若启用 SELinux，需配置策略限制沙箱进程对
upperdir的写入范围，例如只允许/tmp和/var/run
