Bubblewrap 通过命名空间和 seccomp 过滤器约束进程能看到的文件系统、网络和设备，常被 Flatpak 用作底层隔离层。