必须将security.sandbox.content.level设为4并清除所有--no-sandbox等绕过参数，因为等级4强制内容进程运行于低完整性级别，严格限制对注册表、文件系统和进程对象的访问，而等级3及以下仍允许中完整性操作，存在越权风险；需通过about:config配置该值并确保security.sandbox.content.enabled为true，再检查快捷方式和脚本中无禁用参数，最后在about:support确认等级显示为4且任务管理器中内容进程完整性级别为“低”。
Firefox 默认启用内容进程沙盒，但等级为 3（Windows），不足以阻断内存喷射、句柄继承类挂马攻击；必须手动设为 security.sandbox.content.level = 4，并确保无启动参数绕过，否则沙盒形同虚设。
怎么确认并设置 content 进程沙盒等级为 4
Firefox 在 Windows 上依赖 Integrity Level（IL）实现隔离，等级 4 是当前平台最高值，强制将渲染器进程运行于 Low IL，限制对注册表、文件系统和进程对象的写入/打开权限。等级 3 及以下仍允许部分中完整性操作，存在越权风险。
- 关闭所有 Firefox 窗口，用任务管理器确认无残留
firefox.exe进程 - 地址栏输入
about:config→ 接受风险 → 搜索security.sandbox.content.level - 若该项不存在，右键新建「整数」，名称填
security.sandbox.content.level，值设为4 - 再搜索
security.sandbox.content.enabled，确保其值为true（不是字符串"true"）
为什么快捷方式里的 --no-sandbox 会彻底废掉沙盒
该参数会直接跳过整个 Job Object 创建与 IL 设置流程，导致所有子进程（包括渲染器、GPU、网络进程）以父进程相同完整性级别运行——也就是 Medium IL，等同于普通桌面程序，恶意页面可直接调用 OpenProcess、WriteProcessMemory 尝试注入其他标签页或浏览器主进程。
- 检查桌面、开始菜单、任务栏所有 Firefox 快捷方式的「属性→快捷方式→目标」字段
- 删除末尾所有含
--no-sandbox、--disable-seccomp-filter-sandbox、--disable-namespace-sandbox的参数 - 若通过 PowerShell 或批处理脚本启动 Firefox，也需同步清理其中的
sandbox=0或类似禁用逻辑 - 重启后访问
about:support，滚动到「沙盒」模块，确认「内容进程沙盒」状态为「已启用」且「等级」明确显示为4
GPU 进程和网络进程沙盒为什么不能只靠默认设置
Firefox 默认启用 GPU 进程沙盒，但在某些旧显卡驱动（如 Intel HD Graphics 4000 早期驱动）或 Windows 10 1809 以下版本中，会因初始化失败自动降级为无沙盒模式；网络进程则默认不启用独立沙盒，若被攻破可能泄露 DNS 请求、代理凭证甚至 TLS 会话密钥。
- 在
about:config中搜索security.sandbox.gpu.level，设为1（启用 GPU 进程沙盒） - 搜索
security.sandbox.network.level，设为1（启用网络进程沙盒） - 同时确保
gfx.webrender.all为true，WebRender 模式下 GPU 进程更稳定，降低沙盒被绕过的概率 - 打开任务管理器（Ctrl+Shift+Esc），切换到「详细信息」页，筛选所有
firefox.exe进程，右键 → 「属性」→ 「安全」选项卡 → 查看「完整性级别」：内容进程应为「低」，GPU/网络进程应为「中」或「低」；若出现多个「高」或「中（未隔离）」，说明某环节配置失效
SharedArrayBuffer 和 WebAssembly 线程为什么必须关
即使沙盒等级为 4，SharedArrayBuffer + Atomics 组合仍可用于高精度时间侧信道攻击（如 Spectre 变种），配合 WebAssembly 线程可绕过内存保护读取跨进程敏感数据；Firefox 不会在沙盒内禁用它们，需手动补漏。
- 搜索
javascript.options.shared_memory，设为false - 搜索
dom.webassembly.thread-enabled，设为false - 这两项关闭后，多数 WebAssembly 游戏与音视频解码器仍可运行，但依赖多线程加速的加密库（如某些 WebCrypto 实现）会退化为单线程，属可控代价
真正起效的标志不是 about:support 显示“等级 4”，而是任务管理器里每个内容进程的完整性级别都稳定为「低」——任何一步漏配（比如忘了清快捷方式参数，或 GPU 沙盒没开），都会让整个防护链条在关键节点断裂。
