Linux用户命名空间通过UID/GID映射实现权限虚拟化，容器内root映射为宿主机普通用户（如UID 100100），需内核≥3.8、启用max_user_namespaces、配合setgroups降权、uid_map映射及mount/pid/uts/ipc等命名空间协同隔离。
Linux 用户命名空间（User Namespace）不是给用户“开小号”，而是让进程在逻辑上拥有独立的 UID/GID 编号体系——容器里那个 root，在宿主机上可能只是 UID 100100 的普通用户。这种映射式隔离，才是权限不越界、多租户可共存的核心。
确认内核支持并启用基础能力
用户命名空间依赖内核功能，不能只靠命令行开关：
- 运行
uname -r确认内核版本 ≥ 3.8（生产建议 ≥ 5.4） - 检查
cat /proc/sys/user/max_user_namespaces，非零值表示已启用；若为 0，需在/etc/sysctl.conf中添加user.max_user_namespaces=65535并执行sysctl -p - 普通用户默认可创建用户命名空间，无需 root 权限——这是它区别于其他命名空间的关键优势
手动构建带映射的用户命名空间
仅用 unshare --user 不足以实现安全隔离，必须配合 UID/GID 映射和降权操作：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 启动命名空间时至少带上
--user --pid --mount --uts --ipc，例如：unshare --user --pid --mount --uts --ipc --fork /bin/bash - 进入后立即执行：
echo "deny" > /proc/self/setgroups（否则写入 uid_map 会失败） - 将宿主机 UID 1001 映射为命名空间内 UID 0：
echo "0 1001 1" > /proc/self/uid_map - 同步写入 GID 映射：
echo "0 1001 1" > /proc/self/gid_map
绑定挂载与文件系统隔离
用户命名空间本身不隔离文件路径，必须配合挂载命名空间防止逃逸：
- 在新命名空间中执行：
mount --make-rprivate /，关闭挂载传播，避免影响宿主机 - 用
chroot或mount --bind提供干净的根目录，例如：mkdir /tmp/container-root && mount --bind /path/to/minimal-root /tmp/container-root - 验证：在新环境中运行
ls /etc/shadow应提示权限拒绝，而非读取到宿主机敏感文件
集成进容器运行时的推荐方式
手写 unshare 脚本适合调试，生产环境应交由成熟运行时统一管控：
- Docker 24.0+ 支持
--userns-remap=default，自动为每个容器分配唯一 UID/GID 范围（如 100000–165535），无需人工映射 - LXC/LXD 配置中设置
lxc.idmap = u 0 100000 65536和lxc.idmap = g 0 100000 65536，明确指定映射区间 - 务必搭配 seccomp 或 AppArmor 策略，禁用
setuid、chown、cap_setfcap等高危系统调用，堵住映射绕过路径
